福建科立讯通信指挥调度管理平台 /api/client/fax/send_fax.php 命令执行漏洞

影响产品：福建科立讯通信指挥调度管理平台 CVSS：9.0 漏洞类型：命令执行 漏洞描述： 福建科立讯通信指挥调度管理平台是福建科立讯通信技术有限公司推出的一款专业指挥调度系统，广泛应用于公共安全、交通运输、应急救援等领域，提供语音调度、视频监控、GIS定位、消息推送等核心功能。该系统采用PHP+MySQL架构，支持多终端接入和分布式部署，具备高可靠性和高并发处理能力。福建科立讯通信指挥调度管理平台的 /api/client/fax/send_fax.php 接口存在命令执行漏洞，攻击者可通过 fax_name 参数构造恶意请求，利用反引号执行任意系统命令，将结果写入fax目录，通过后续GET请求获取命令执行结果，从而获取服务器权限，造成严重安全风险。 影响： 攻击者可利用该漏洞在服务器上执行任意系统命令，获取服务器权限，进而完全控制服务器，窃取敏感数据、破坏系统完整性，并对内网进行横向渗透，造成严重数据泄露和业务中断风险。 修复建议： 1、升级到官方最新版本；2、对 fax_name 参数进行严格的输入验证和过滤，禁止反引号等特殊字符；3、限制系统命令执行权限；4、部署Web应用防火墙检测异常命令执行行为。 FOFA： body="指挥调度管理平台" || (body="captcha.php?r=echo rand(); ?>" && body="./images/zhanghu.png")