CVE-2026-100520

总结

Laranode 1.2.1 之前的版本在 POST /filemanager/upload-file 端点中存在路径遍历漏洞，允许已认证用户在其主目录之外写入任意文件。攻击者可以在 path 参数中提供目录遍历序列，将 PHP 文件写入其他租户的 Web 根目录，并以这些租户的身份执行代码。

来源

• CVE-2026-100520-laranode-path-traversalPoC

  Laranode < 1.2.1 中的路径遍历 -> RCE（CWE-22）。PoC + 安全公告分析。