一、漏洞简介
CVE-2021-41402是一个影响flatCore-CMS v2.0.8的严重漏洞，允许远程攻击者执行任意 PHP 代码。此漏洞的核心问题在于代码注入（CWE-94），攻击者可以利用该漏洞在目标系统上执行恶意代码。
漏洞描述
flatCore-CMS 是一个轻量级的内容管理系统（CMS）。在其 v2.0.8 版本中，存在一个代码执行漏洞，攻击者可以通过上传恶意模块或文件来执行任意 PHP 代码。这种漏洞的利用可能导致敏感数据泄露、系统控制权被接管等严重后果。
根据NVD的 CVSS 评分，该漏洞的严重性为8.8（高危），其攻击向量为网络（AV:N），攻击复杂度低（AC:L），需要低权限（PR:L），且无需用户交互（UI:N）
二、漏洞复现
这里以春秋云境靶场环境为例
flatCore-CMS v2.0.8 存在后台任意代码执行漏洞
看见登录框随便输入尝试一下，大部分cms默认账号是admin，用bp爆破
密码1234567返回长度5567最不一样直接输入登录尝试
登录进去了，点Administration进入新页面
看见右下角有个上传入口先尝试一下传一句话木马
hackbar传完后没响应说明不是这里
在插件的安装板块有上传板块的特别提示尝试一下上传
php文件上传成功
使用hackbar获取flag
参考文章
CVE-2021-41402：flatCore-CMS v2.0.8 代码执行漏洞
