SynaptikCMS 文件管理器 — 认证后远程代码执行

漏洞

SynaptikCMS 文件管理器认证后远程代码执行

SynaptikCMS 的文件管理器允许已认证的攻击者上传文件，随后将其重命名为 PHP 文件。这种上传和重命名行为可被滥用来将可执行的 PHP 代码放置到 Web 可访问的位置，从而导致在 Web 服务器上下文中执行远程代码。

研究员： D1n3sh

受影响组件

/admin/file-manager.php

存在漏洞的功能涉及文件上传和文件重命名操作。

漏洞类型

• 不受限制的文件上传
• 文件扩展名 / 重命名验证绕过
• 认证后远程代码执行

攻击要求

利用该漏洞需要已认证的管理员会话。

PoC 接受管理员会话 Cookie 并与文件管理器端点进行交互。所提供的利用程序使用以下端点：

/admin/file-manager.php

PoC 中记录的利用链为：

1. 验证对文件管理器的访问权限。
2. 使用非 PHP 文件名上传 PHP 载荷。
3. 获取已上传文件的标识符。
4. 完成上传。
5. 将已上传文件重命名为 .php 文件名。
6. 通过 Web 可访问目录访问生成的文件。
7. 验证命令执行。

所提供的 PoC 直接实现了此序列。

概念验证

PoC 提供于：

synaptik_rce.py

https://github.com/user-attachments/assets/0cc7a657-a611-48fc-bd90-c172e9122ab9

该脚本创建一个 PHP 载荷，并使用非 PHP 文件名上传，然后尝试将其重命名为 PHP 文件名。

用法

python3 synaptik_rce.py \
  -u https://TARGET \
  -c 'ADMIN_SESSION_COOKIE'

仅限授权测试使用。

该 PoC 还支持通过 HTTP 代理转发流量以及测试后的清理。

影响

成功利用可允许已认证的攻击者以 Web 服务器进程的权限执行任意操作系统命令。

根据服务器配置和应用程序进程的权限，这可能导致：

• 应用程序被攻陷
• 访问服务器端文件
• 修改应用程序数据
• 进一步攻陷底层服务器

披露

该漏洞已负责任地披露给 SynaptikCMS 项目。

该问题随后由项目维护者修补，研究员被列入 SynaptikCMS 安全名人堂。

参考资料

• SynaptikCMS: https://github.com/synaptikcms/synaptik-cms
• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-92247
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-92247
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-92247/
• Researcher: https://d1n3sh-0x3.github.io/

免责声明

本概念验证仅供安全研究和授权测试使用。

未经系统所有者明确许可，请勿对系统使用此 PoC。