【附POC及复现环境】SmarterMail未授权任意命令执行漏洞复现（CVE-2025-52691）

全文概述

CVE-2025-52691是影响SmarterMail邮件服务器的严重漏洞，允许未授权攻击者上传任意文件并执行远程代码。文章详细介绍了漏洞复现步骤、环境部署方法及官方补丁信息，并提供了POC脚本下载链接，帮助用户进行安全测试和防护。

漏洞介绍

CVE-2025-52691是一个高危漏洞，允许未经认证的攻击者通过网络向SmarterMail邮件服务器上传任意文件，可能导致远程代码执行并完全控制服务器。该漏洞被评为CVSS最高严重等级（Critical），影响版本为Build 9406及更早版本。

漏洞复现步骤

首先，在本地环境中安装SmarterMail邮件服务器，默认设置即可。然后使用Burp Suite发送特定数据包，成功上传恶意脚本或webshell，获取目标服务器权限。具体数据包详见文末提供的POC脚本。

环境部署方法

在“CVE-2025-52691漏洞复现环境”中，双击exe安装包进行SmarterMail邮件服务器的安装，访问http://127.0.0.1:17017/查看安装界面。安装完成后，继续访问该地址以完成配置。

官方补丁与建议

官方已发布新版本（Build 9413及以上）修复该漏洞，强烈建议用户尽快升级至最新版本以防止潜在攻击。同时，用户应严格遵守相关法律法规，仅在合法授权范围内使用漏洞复现工具。

资源获取方式

文章提供了POC脚本（POC-CVE-2025-52691.txt）、漏洞复现环境以及详细的复现教程，读者可在知识星球内获取这些资源，自行学习和复现。