nitroshare 中的路径遍历漏洞

描述

NitroShare Desktop v0.3.4 的局域网文件传输服务器存在路径遍历漏洞。该服务器监听所有网络接口（端口 40818），且无需身份验证。在接收文件时，发送方 JSON 项目头中的 name 字段会被直接传递，而未验证解析后的路径是否仍位于传输根目录 C:\UserName\Downloads\NitroShare 之内。同一局域网内的攻击者可以发送包含 ../（经典的点点斜杠攻击）序列的精心构造的文件名，从而在当前用户可访问的任何位置写入文件，包括 Windows 启动文件夹，以便在下次登录时执行代码（因此创建了相应的 PoC）。无需任何用户交互。此外，TLS（该应用提供的认证方式）默认处于禁用状态，这意味着默认情况下无需任何认证；基于我在 IT 与信息安全领域多年的工作经验，我推测大多数用户都会保持这一默认状态。

复现步骤

1. 从局域网连接到 NitroShare 的传输服务器 TCP 端口 40818。
2. 发送一个 JSON 传输包头数据包：{"name":"attacker","size":"<n>","count":"1"}。
3. 发送一个包含路径遍历文件名的 JSON 项目头数据包：
   root@kitploit:~

   {"name":"../../AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/payload.exe","directory":false,"created":"0","last_modified":"0","last_read":"0","size":"<n>"}
   

4. 发送包含恶意文件内容的二进制数据包。
5. 该文件会被写入下载目录之外、由攻击者指定的路径。
6. 如果目标是启动文件夹，载荷将在用户下次登录时自动执行。

已提供一个可运行的 PoC（poc_path_traversal_via_lan_transfer___arbitrary_file_w.py），并已在 Windows 上的 NitroShare 0.3.4 中验证通过。

修复建议

1. 清理接收到的文件名 — 剔除或拒绝路径分隔符（/、\）和 .. 序列。使用 QDir::absoluteFilePath() 解析后，在处理前验证结果是否以传输根目录开头。
2. 默认要求密码或启用 TLS — 产品默认启用 TLS 并在首次运行时自动生成证书，或提供设置密码的选项。
3. 添加传输确认提示 — 在将接收到的文件写入磁盘之前提示用户确认。
4. 实现身份认证 — 在接受传输之前要求配对机制（共享密钥、二维码或证书交换）。

披露时间线

• 2026 年 4 月 13 日 - 通过 Github 仓库上公布的电子邮件联系开发者。未收到回复。
• 2026 年 4 月 19 日 - 第二次尝试。未收到回复。
• 2026 年 5 月 3 日 - 第三次尝试。未收到回复。
• 2026 年 7 月 22 日 - 已分配 NotCVE-2026-0009
• 2026 年 7 月 28 日 - 已分配 CVE-2026-66050