CRMEB 任意文件下载漏洞复现复现（CVE-2024-52726）（附脚本）

免责申明：

本文所描述的漏洞及其复现步骤仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

0x01 产品描述：

        CRMEB 是一款基于ThinkPHP框架开发的开源电商系统，主要面向中小企业提供社交电商与新零售解决方案，支持多商户运营、微信生态（公众号/小程序）深度集成、分销体系及数据统计分析，凭借模块化设计及低成本部署特性在中国市场广泛应用，但其开源特性也伴随潜在安全风险，需持续关注官方更新与漏洞修复。
0x02 漏洞描述：

        CRMEB开源商城系统 存在任意文件下载漏洞，未授权的攻击者可获取数据库敏感信息。
0x03 搜索语句：

Fofa：body="/wap/first/zsff/iconfont/iconfont.css"||body="CRMEB"