رفع ملف غير مقيد في Laravel FileManager (CVE-2025-56399)

CWE-434: رفع غير مقيد لملف بنوع خطير
درجة CVSS: 8.5 (عالية)

---

📋 الوصف

توفر هذه الأداة إثبات المفهوم (PoC) لـ CVE-2025-56399، وهي ثغرة أمنية خطيرة في alexusmai/laravel-file-manager (الإصدارات ≤ 3.3.1).

تسمح الثغرة لـمهاجم مصادق بتحقيق تنفيذ تعليمات برمجية عن بعد (RCE) عن طريق رفع ملف مصمم خصيصًا، وتجاوز التحقق من جانب العميل، وإعادة تسميته إلى امتداد PHP.

تقوم هذه النص البرمجي بأتمتة العملية بأكملها:

• اكتشاف نقاط نهاية FileManager (يدعم متغيرات متعددة من Laravel FileManager)
• استخراج رموز CSRF
• رفع الحمولة والتحقق من التنفيذ

---

🚨 تفاصيل الثغرة (CVE-2025-56399)

السمة	القيمة
نوع الثغرة	رفع ملف غير مقيد → RCE
CWE	CWE-434
درجة CVSS	8.5 (عالية)
متجه الهجوم	الشبكة
تعقيد الهجوم	منخفض
الامتيازات المطلوبة	منخفضة (مصادق)
تفاعل المستخدم	نشط

سلسلة الهجوم (حسب CVE-2025-56399)

1. المصادقة إلى التطبيق
2. الوصول إلى واجهة FileManager (/file-manager)
3. رفع ملف .png يحتوي على كود PHP
4. استخدام واجهة برمجة التطبيقات لإعادة التسمية لتغيير الامتداد إلى .php
5. الوصول إلى الملف → يقوم الخادم بتنفيذ كود PHP → تحقيق RCE

---

🛠️ التثبيت

git clone https://github.com/Jenderal92/laravel-filemanager-unrestricted-upload.git
cd laravel-filemanager-unrestricted-upload
pip install -r requirements.txt

المتطلبات

· Python 2.7 · requests · colorama

---

📖 الاستخدام

python2 lfm.py list.txt

تنسيق الإدخال (list.txt)

https://target1.com
https://target2.com
http://target3.com

المخرجات

· valid.txt – قائمة بعناوين URL للشيل التي تم التحقق منها (أضف ?shinday=1 للوصول)

مثال للمخرجات:

https://target.com/storage/shxt_123456.php?shinday=1

---

🧪 كيف يعمل الاستغلال

1. الكشف – يتحقق من مسارات FileManager الشائعة: · /file-manager/tinymce · /file-manager/ckeditor · /file-manager/tinymce5 · /file-manager/summernote · /admin/file-manager/tinymce بالنسبة لـ alexusmai/laravel-file-manager، المسار الافتراضي هو /file-manager. يمكنك إضافته إلى قائمة المسارات في النص البرمجي إذا لزم الأمر.
2. استخراج رمز CSRF – يستخرج الرمز من أو حقل إدخال _token.
3. التهيئة – يستدعي /file-manager/initialize لاسترداد تكوين القرص.
4. الرفع – يرفع ملف .htaccess (لتجاوز القيود) ثم الحمولة (shxt_.php) بنوع MIME لـ GIF.
5. التحقق – يتحقق مما إذا كان ?shinday=1 يُرجع السلسلة Shinday؛ إذا كان الأمر كذلك، يكون الشيل صالحًا ويُحفظ في valid.txt.

---

📂 تفاصيل الحمولة

ملف PHP الذي تم رفعه هو شيل ويب من ملف واحد يقوم بـ:

· عرض معلومات النظام (php_uname) · توفير نموذج لرفع الملفات (لإضافة أدوات أخرى) · الاستجابة للمعامل ?shinday=1 بواجهة الشيل الكاملة · بخلاف ذلك، يعرض صورة GIF89a صالحة لتجنب الكشف

الوصول إلى الشيل عبر:

https://target.com/path/to/shxt_123456.php?shinday=1

---

🛡️ التخفيف

للحماية من هذه الثغرة:

1. تحديث الحزمة – انتظر التصحيح (لا يوجد إصلاح رسمي بعد). فكر في استبدال alexusmai/laravel-file-manager ببديل.
2. تقييد الوصول – أضف برمجية وسيطة للمصادقة إلى جميع مسارات FileManager:

   Route::group(['middleware' => ['auth', 'admin']], function () {
       // File Manager routes
   });
   

3. التعطيل إذا لم يكن ضروريًا – قم بإزالة الحزمة:

   composer remove alexusmai/laravel-file-manager
   

4. منع تنفيذ PHP – ضع ملف .htaccess في دليل التخزين:

   <FilesMatch "\.(php|phtml|php3|php4|php5|phar)$">
       Deny from all
   </FilesMatch>
   

5. التحقق من أنواع الملفات – نفذ تحققًا صارمًا من جانب الخادم للملفات المرفوعة.

---

📦 الإصدارات المتأثرة

الحزمة	الإصدارات المتأثرة
alexusmai/laravel-file-manager	≤ 3.3.1

---

🔗 المراجع

· CVE-2025-56399 - NVD · GitHub Advisory · Snyk Vulnerability Database · VulDB Entry · alexusmai/laravel-file-manager

---

📜 إخلاء المسؤولية

تحذير: هذه الأداة مخصصة للأغراض التعليمية واختبار الأمان المصرح به فقط. باستخدامها، أنت توافق على:

· اختبار الأنظمة التي تملكها فقط أو التي لديك إذن صريح باختبارها · عدم استخدامها لأغراض ضارة · الامتثال لجميع القوانين المعمول بها

المؤلف لا يتحمل أي مسؤولية عن أي سوء استخدام أو ضرر ناتج.

يمكنك رؤية إخلاء المسؤولية الإضافي على غلاف Jenderal92. يمكنك التحقق منه هنا !!!

---