MicroWeber中漏洞发现的简介
MicroWeber是用PHP编写的开源内容管理系统（CMS）。它允许Web管理员通过将组件拖放到所需位置轻松地构建网站。在希望建立易于设置且可自定义的网站的人士中，这是一个受欢迎的选择。
在此博客文章中，我将详细介绍我在MicroWeber中发现的一个严重漏洞，攻击者可以在该漏洞中泄露整个用户数据库，其中包括管理员密码哈希值和电子邮件。利用此漏洞无需身份验证，因此影响非常大。
MicroWeber内部和脚本自定义
作为基于PHP的CMS，MicroWeber调用多个PHP脚本来处理其功能的不同部分。这样就可以自定义MicroWeber，用户可以插入自己的脚本或轻松修改现有脚本以更改CMS的运行方式。
MicroWeber模块系统
这种自定义功能中的一个就是恰当命名的模块系统。模块允许将不同的功能（例如嵌入推文或搜索实用程序）添加到MicroWeber中。这使Web管理员可以通过查找或编写添加所需功能的模块来轻松扩展其MicroWeber站点的功能。
识别漏洞
该漏洞是在“ controller.php”脚本中发现的，该脚本是MicroWeber用户模块的一部分。
<？php
dd（User :: all（））;
controller.php的PHP代码