Managefy 文件管理器、代码编辑器和备份中的路径遍历漏洞概念验证

漏洞类型： 路径遍历（任意文件下载）

受影响函数： ajax_downloadfile()

影响： 具有低权限（订阅者+）的已认证用户可以下载服务器上的任意文件，包括敏感配置文件，通过利用对 flm_file 参数验证不足。

CVSS v3.1 评分： 6.5（中危）
向量： AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

描述

GET 请求中的 flm_file 参数直接与备份目录路径拼接，未经充分清理。当前清理函数 Flmbkp_Form_Helper::sanitizeInput_html() 无法阻止 ../ 之类的序列，允许攻击者遍历预期备份文件夹之外的目录。

// modules\filemanager\controllers\backups.php
public function ajax_downloadfile()
    {
        check_ajax_referer('flmbkp_ajax_nonce', 'flmbkp_security');
        @set_time_limit(900);
        $flm_file = (isset($_GET['flm_file'])) ? Flmbkp_Form_Helper::sanitizeInput_html($_GET['flm_file']) : '';
        
        $backup_directory=Flmbkp_Form_Helper::backup_directory();
        $fullpath = $backup_directory.'/'.$flm_file;
        
        header("Content-Length: ".filesize($fullpath));
        header("Content-type: application/octet-stream");
        header("Content-Disposition: attachment; filename=\"".basename($fullpath)."\";");
        readfile($fullpath);
        exit;
    }