CVE-2025-58180
OctoPrint 容易受到经由文件上传中未净化文件名引发的 RCE 攻击
- 已发布
- 2025年9月9日
- 已更新
- 2025年9月10日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年2月4日
初级CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:A/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X中 · 未来 30 天
- 百分位
- 97.5%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
OctoPrint 提供了一个用于控制消费级3D打印机的网页界面。直到并包括 1.11.2 的 OctoPrint 版本存在一个漏洞，该漏洞允许已认证的攻击者以特制文件名上传文件；如果该文件名随后被包含在系统事件处理器中定义的命令中，并且该事件被触发，则可能导致任意命令执行。如果未配置任何以所上传文件名作为参数执行系统命令的事件处理器，则该漏洞不会造成影响。该漏洞已在 1.11.3 版本中修复。作为临时解决方案，配置了包含任何形式的文件名占位符的事件处理器的 OctoPrint 管理员，应通过将其 `enabled` 属性设置为 `False`，或取消勾选基于 GUI 的事件管理器中的“启用”复选框来禁用这些处理器。或者，OctoPrint 管理员应在 `config.yaml` 中设置 `feature.enforceReallyUniversalFilenames` 为 `true`，然后重启 OctoPrint，并检查现有上传文件，确保删除任何可疑文件。一如既往，建议 OctoPrint 管理员不要将 OctoPrint 暴露在公共互联网等不受信任的网络上，并审查哪些人可以访问其实例。
来源
2在OctoPrint版本<=1.11.2中，拥有文件上传权限的攻击者（例如有效的API密钥或会话）可以构造一个绕过清理机制的恶意文件名，该文件名随后会被OctoPrint的事件系统执行，从而导致在主机上远程执行代码（RCE）。
prabhat · multiple · 2026年2月4日
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。