🔍 समस्या क्या है?

AdonisJS मल्टीपार्ट फ़ाइल अपलोड के दौरान उपयोगकर्ता-आपूर्ति किए गए फ़ाइलनामों पर अनुचित रूप से भरोसा करता है।

जब डेवलपर्स कॉल करते हैं:

सख्त सैनिटाइज़ेशन के बिना, हमलावर इस तरह के फ़ाइलनाम सबमिट कर सकते हैं:

यह उन्हें इच्छित अपलोड निर्देशिका से बाहर निकलने और सर्वर पर मनमाने स्थानों पर फ़ाइलें लिखने की अनुमति देता है।

💥 प्रभाव

एक हमलावर संभावित रूप से:

• 📂 मनमानी फ़ाइलें कहीं भी लिख सकता है जहाँ सर्वर प्रक्रिया को अनुमति है
• 🧨 एप्लिकेशन फ़ाइलों या कॉन्फ़िग्स को ओवरराइट कर सकता है
• 🖥️ रिमोट कोड एक्ज़ीक्यूशन (RCE) प्राप्त कर सकता है
• 🌐 इस समस्या का दूरस्थ रूप से, बिना प्रमाणीकरण के, दुरुपयोग कर सकता है

यह भेद्यता को सार्वजनिक फ़ाइल अपलोड एंडपॉइंट्स के लिए विशेष रूप से खतरनाक बनाता है।

📦 प्रभावित संस्करण

❌ भेद्य

• @adonisjs/bodyparser ≤ 10.1.1
• 11.x प्रीरिलीज़ 11.0.0-next.6 से पहले

✅ ठीक किए गए

• 10.1.2
• 11.0.0-next.6

🛠️ निवारण (दृढ़ता से अनुशंसित)

🔐 तत्काल समाधान

➡️ जितनी जल्दी हो सके पैच किए गए संस्करण में अपग्रेड करें।

🧯 अस्थायी शमन

यदि अपग्रेड करना अभी संभव नहीं है:

• 🧼 फ़ाइलनाम सैनिटाइज़ करें (../, पूर्ण पथ, नल बाइट्स को अस्वीकार करें)
• 🧩 MultipartFile.move() में सुरक्षित विकल्पों का उपयोग करें
• 🔒 अपलोड एंडपॉइंट्स के लिए प्रमाणीकरण आवश्यक करें
• 📁 फ़ाइलसिस्टम लिखने की अनुमतियों को प्रतिबंधित करें
• 🧱 पाथ ट्रैवर्सल प्रयासों का पता लगाने के लिए WAF का उपयोग करें

🕒 प्रकटीकरण समयरेखा

• 📅 2 जनवरी, 2026 — GitHub सुरक्षा सलाह प्रकाशित
• 📅 2 जनवरी, 2026 — NVD प्रविष्टि जारी

📁 CVE-2026-21440 PoC स्क्रिप्ट का उपयोग करने के संक्षिप्त चरण

1. निर्भरता स्थापित करें
   pip install requests

2. स्क्रिप्ट सहेजें
   पूरा Python कोड कॉपी करें और cve_2026_21440_poc.py के रूप में सहेजें

3. अपलोड एंडपॉइंट खोजें
   लक्ष्य का मल्टीपार्ट फ़ाइल अपलोड URL पहचानें (जैसे, /upload, /api/files)। ब्राउज़र या curl से परीक्षण करें।

4. पहले सुरक्षित परीक्षण चलाएँ
   python3 cve_2026_21440_poc.py http://target:port/upload --safe --random

5. सफलता जाँचें

   • टर्मिनल: "SUCCESS: File likely written!" और सुझाया गया URL देखें।
   • ब्राउज़र: सुझाया गया URL खोलें – यदि आपको PoC टेक्स्ट दिखाई देता है, तो यह भेद्य है।

6. यदि भेद्य है, तो शेल आज़माएँ (वैकल्पिक)
   python3 cve_2026_21440_poc.py http://target:port/upload --shell php --depth 5

7. शेल सत्यापित करें
   कमांड आउटपुट के लिए अपलोड की गई फ़ाइल तक पहुँचें (जैसे, http://target/shell.php?cmd=whoami)।

केवल अधिकृत लक्ष्यों पर उपयोग करें! --safe से शुरू करें।

यह CVE-2026-21440 प्रूफ-ऑफ-कॉन्सेप्ट स्क्रिप्ट केवल शैक्षिक, अनुसंधान और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान की गई है।

❌ आप इसका उपयोग कर सकते हैं: • उन सिस्टमों पर जो आपके स्वामित्व में हैं • उन सिस्टमों पर जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है

❌ आप इसका उपयोग नहीं कर सकते: • किसी भी सिस्टम तक अनधिकृत पहुँच के लिए • किसी भी प्रकार की अवैध गतिविधियों के लिए • दुर्भावनापूर्ण उद्देश्यों के लिए

लेखक और वितरक कोई दायित्व नहीं मानते: • इस उपकरण के दुरुपयोग के लिए • सिस्टमों को हुए नुकसान के लिए • अनधिकृत उपयोग से उत्पन्न कानूनी परिणामों के लिए

अनुमति के बिना सिस्टमों के विरुद्ध इस स्क्रिप्ट का उपयोग अधिकांश देशों में कानूनों का उल्लंघन करता है (जैसे, अमेरिका में CFAA, यूके में कंप्यूटर मिसयूज़ एक्ट)।

इस उपकरण का उपयोग करके, आप सहमत हैं: • अपने कार्यों की पूरी ज़िम्मेदारी लेने के लिए • सभी लागू कानूनों का पालन करने के लिए

नैतिक रहें। ज़िम्मेदारी से परीक्षण करें। विक्रेताओं को भेद्यताओं की रिपोर्ट करें।

✦ ग्रह को हैक करें — लेकिन कानूनी रूप से ✦