2026年7月6日，国家信息安全漏洞库（CNVD）公开编号为 CNVD-2026-26532 的高危漏洞：内容管理系统 Yot CMS 3.3.1 存在 SQL 注入漏洞，对应 CVE 编号为 CVE-2018-25425。
这是一份 2018 年就出现的漏洞，至今仍未修复。对于仍在使用 Yot CMS 的站长来说，这是一个必须重视的警示。
一、漏洞基本信息
| 项目 | 内容 |
|---|---|
| CNVD-ID | CNVD-2026-26532 |
| CVE 编号 | CVE-2018-25425 |
| 公开日期 | 2026年7月6日 |
| 危害级别 | 高 |
| 影响产品 | Yot CMS 3.3.1 |
| 漏洞类型 | SQL 注入（通用型漏洞） |
| 验证状态 | 已验证 |
| 厂商补丁 | 暂无（多年未提供修复方案） |
二、漏洞原理与危害
2.1 漏洞位置
问题出在 index.php 文件的 aid 和 cid 参数。这两个参数直接拼接到 SQL 查询语句中，未对用户输入的 SQL 查询片段进行充分过滤。
2.1 典型攻击方式
攻击者通常会发送如下形式的请求：
/index.php?aid=1&cid=2 UNION SELECT username,password FROM yot_users--
如果后端直接将 aid 和 cid 拼接到 SQL 中，恶意片段就会被执行。
2.3 可能造成的后果
| 危害 | 说明 |
|---|---|
| 数据泄露 | 提取数据库 schema、表名、字段名 |
| 敏感信息窃取 | 用户账号、密码、邮箱、订单信息 |
| 数据库结构暴露 | 为进一步攻击提供情报 |
| 横向攻击 | 在获得数据库权限后可尝试提权、写入 WebShell |
Yot CMS 本身用于网站内容发布和页面管理，一旦被攻破，攻击者通常能直接控制网站内容发布——包括挂马、跳转到博彩站、注入 SEO 暗链等。
三、为什么这个漏洞值得关注？
3.1 7 年前的漏洞仍在生效
CVE 编号 CVE-2018-25425 说明这个漏洞最早在 2018 年就被发现。但直到 2026 年 7 月，CNVD 仍将其收录，厂商仍未发布任何补丁。这意味着任何一个 2018 年后部署的 Yot CMS 3.3.1 站点，今天仍然处于攻击范围。
3.2 漏洞已被验证，可直接利用
CNVD 状态为”已验证”，说明有安全研究人员确认该漏洞可被成功利用。安全研究社区也存在相关 PoC 公开。
3.3 小众 CMS 用户的”裸奔”风险
Yot CMS 属于小型内容管理系统，使用者多为个人站长或小型企业。这类用户的安全意识往往不如 WordPress、Joomla 等主流 CMS 站长：
- 组件更新不及时
- 没人维护，补丁发布即被忽略
- 攻击面暴露在公网，无人察觉
- 一旦被攻破，损失也不小
四、主机吧的防护建议
4.1 立即自查
bash
# 1. 确认是否使用 Yot CMS
ls /www/wwwroot/your-domain/
# 通常会有 yot/ 目录或类似标识
# 2. 查看版本号
cat /www/wwwroot/your-domain/yot/config.php 2>/dev/null | grep version
# 或查看 admin/ 目录的版本标识
如果确认是 Yot CMS 3.3.1 站点，且对外提供服务，那么目前处于危险状态。
4.2 临时缓解方案
在厂商补丁发布之前（如果还可能发布的话），可以采取以下临时措施：
方案一：WAF 虚拟补丁（最推荐）
这是主机吧最推荐的方案。百度云防护 WAF 可以在不修改代码、不升级组件的情况下，直接在网络层拦截针对该漏洞的 SQL 注入攻击流量。
方案二：限制 /index.php 的参数访问
nginx
# Nginx 配置：限制 aid 和 cid 只接受数字
location /index.php {
if ($arg_aid ~ "[^0-9]") { return 403; }
if ($arg_cid ~ "[^0-9]") { return 403; }
# 原有代理配置...
}
但这种方案对 Web 应用开发者有技术要求，改动可能影响正常功能。
方案三：暂时下线或静态化
如果站点数据重要性高，又没有专业运维能力，最保守的做法是：
bash
# 临时下线，维护站点
mv /www/wwwroot/your-domain /www/wwwroot/your-domain.bak
# 或将动态站点转为静态 HTML（如果业务允许）
4.3 长期建议
如果你或你的客户仍在使用 Yot CMS，认真考虑迁移到主流 CMS。主机吧推荐：
- WordPress：插件生态最丰富，安全更新及时，社区响应快
- Joomla：适合企业站点
- Typecho / Z-Blog：轻量级国货 CMS，适合博客
迁移前可使用 WAF 过渡，迁移后要保持更新。
五、WAF 虚拟补丁的优势
这个案例和上周写的 J-BusinessDirectory 漏洞类似，再次说明了 WAF 在漏洞响应中的不可替代性：
| 防护手段 | 传统补丁 | WAF 虚拟补丁 |
|---|---|---|
| 生效速度 | 等厂商出补丁 | 即时生效 |
| 是否需要停机 | 需重启 | 零停机 |
| 影响业务范围 | 可能影响关联功能 | 无影响 |
| 针对新漏洞 | 慢 | WAF 规则库自动更新 |
| 小众 CMS 支持 | 厂商可能不维护 | WAF 不依赖 CMS 厂商 |
对 Yot CMS 这种 厂商已不再维护的 CMS，WAF 虚拟补丁几乎成了唯一的防护手段。
百度云防护 WAF 基础版 299 元/月，规则库平均每 2 周更新一次，通过主机吧购买享 7.5 折（224 元/月），免费配置指导。
🔗 https://www.zhujib.com/shop/26864.html
六、总结
Yot CMS 3.3.1 的 SQL 注入漏洞，给所有使用小众 CMS 的站长敲响警钟：
- 小众 CMS ≠ 安全 — 用的人少，研究的人也少，但一旦发现就是大范围通杀
- 无补丁的漏洞比高危漏洞更危险 — 因为无解
- WAF 虚拟补丁是无补丁漏洞的救命稻草 — 任何 CMS、任何组件、任何未发布修复的漏洞，都能在 WAF 层面拦截
- 长期来看，应迁移到主流 CMS — 安全更新是 CMS 选型的硬指标
