影響系統：CuteNews (平檔案儲存的新聞管理系統)
漏洞類型：PHP 代碼注入 / 遠程代碼執行
前置條件：需管理員帳號權限 (可編輯模板)
CuteNews 將模板儲存為 .tpl 檔案，內容為 PHP Heredoc 語法：
攻擊者在模板編輯介面提交以下內容：
HTML;
[惡意 PHP 代碼，如 system('id'); phpinfo();]
$fake_template = <<原理：HTML; 終止原本的 Heredoc，接著的 PHP 代碼直接被解析執行，最後用新的 Heredoc 包裹剩餘內容避免語法錯誤。
HTML;、、?>、Heredoc/Nowdoc 語法exec、shell_exec 等危險函數| 層面 | 建議 |
|---|---|
| 應用層 | 採用無 PHP 執行能力的模板引擎 (Twig/Blade) |
| 檔案系統 | 模板目錄掛載為唯讀、分離代碼與資料目錄 |
| PHP 配置 | disable_functions 移除執行類函數、open_basedir 限制 |
| 網路層 | 管理後台限制 IP、強制 HTTPS、WAF 規則 |
| 監控層 | 檔案完整性監控 (Tripwire/AIDE)、異常流量告警 |
⚠️ 法律聲明：本文僅供安全研究與防禦參考。CuteNews 早期版本已極其老舊，現代環境少見。漏洞利用完整代碼未提供，嚴禁用於未授權系統測試。
