CVE-2026-21857：Redaxo 备份插件存在路径遍历漏洞，可导致任意文件读取

概述

字段	详情
CVE ID	CVE-2026-21857
严重级别	高危
安全公告	查看公告
发现者	Lukasz Rybak

受影响产品

• redaxo/source（版本：<= 5.20.1）

CWE 分类

• CWE-22：对受限目录的路径名限制不当（'路径遍历'）
• CWE-24：路径遍历：'../filedir'

详细信息

摘要

拥有备份权限的已认证用户可通过备份插件文件导出功能中的路径遍历漏洞，读取 Web 根目录内的任意文件。

详情

备份插件未将 EXPDIR POST 参数与 UI 生成的可允许目录白名单进行校验。
攻击者可提供包含 ../ 序列的相对路径（甚至文档根目录内的绝对路径），从而将任意可读文件包含进生成的 .tar.gz 归档中。

存在漏洞的代码：

• redaxo/src/addons/backup/pages/export.php（第 72-76 行）——直接使用 $_POST['EXPDIR']
• redaxo/src/addons/backup/lib/backup.php（约第 413 行和第 427 行）——将未经净化处理的用户输入与基础路径拼接

这将导致敏感文件泄露，例如：

• redaxo/data/core/config.yml → 数据库凭据 + 所有后台用户的密码哈希
• .env、自定义配置文件、日志、上传的恶意文件等。

受影响版本

≤ 5.20.1（已确认受影响）

已修复版本

无（截至 2025-12-09）

PoC – 提取数据库凭据和密码哈希

1. 使用拥有备份权限的任意用户登录
2. 前往备份 → 导出 → 文件

3. 使用 Burp Suite 拦截请求

4. 将某个 EXPDIR[] 值改为 ../../../../var/www/html/redaxo/data/core

5. 发送请求 → 下载归档文件

   

6. 解压并打开 data/core/config.yml

   

结果：明文数据库密码

影响

REDAXO 安装将遭完全攻陷：

• 数据库接管
• 密码哈希提取 → 离线破解 → 管理员访问
• 与其他漏洞结合利用 → RCE

CVSS 4.0 向量与评分如下。

致谢

发现者：Łukasz Rybak

参考资料

• https://github.com/redaxo/redaxo/security/advisories/GHSA-824x-88xg-cwrv
• https://github.com/redaxo/redaxo/releases/tag/5.20.2
• https://nvd.nist.gov/vuln/detail/CVE-2026-21857
• https://github.com/advisories/GHSA-824x-88xg-cwrv

免责声明

此 CVE 已按照协调漏洞披露规范进行负责任披露。此处提供的信息仅用于教育和防御目的。