CVE-2026-78839

描述

AppNitro MachForm v30 中存在任意文件上传漏洞，攻击者可通过上传特制的 .phar 文件来执行任意代码。

成功利用此漏洞需要满足两个实际前提条件。首先，攻击者必须找到一个已配置为允许上传 .phar 文件的现有表单，或者拥有足够的权限自行修改表单的允许扩展名。其次，攻击者必须能够确定上传文件所分配的 MD5 哈希值，以便检索并执行该文件。这既可以通过暴力破解文件名来实现（因为可以发送无限请求来枚举有效文件名），也可能通过次要漏洞被披露。

攻击向量

如果拥有表单创建权限的用户创建了一个启用文件上传功能且允许 .phar 格式的表单，则任何未经身份验证的用户都可以利用此表单获得远程代码执行能力。未经身份验证的用户需要暴力破解随机的 MD5 哈希文件名以检索文件并执行攻击。

受影响组件

已在 Machform 版本 30 上测试

攻击类型

远程

风险

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P (8.2 高危)

参考

https://<application-baseurl>/upload.php

研究人员

Nabeel Khan - NCCGroup