CVE-2026-36227: Easy Chat Server 3.1 用户名路径遍历概念验证

此仓库包含针对 CVE-2026-36227 的良性概念验证代码，该漏洞是 Easy Chat Server 3.1 用户注册处理中的路径遍历问题。

此仓库仅用于授权的安全研究和本地复现。请勿将其用于你不拥有或未经明确许可测试的系统。

概述

Easy Chat Server 3.1 通过 POST /registresult.htm 接受注册数据。UserName 参数在被应用程序使用前未经过充分净化。一个类似 ../../ecs-traversal-proof.txt 的遍历风格值可能导致应用程序在预期的用户注册路径之外写入文件。

此公开 PoC 故意使用无害的证明文件名，不包含可执行的 webshell 或命令执行内容。

发现者

Vaibhav D. Barkade

受影响的产品

• 产品：Easy Chat Server
• 版本：3.1
• 组件：用户注册
• 端点：/registresult.htm
• 参数：UserName

用法

针对你拥有或有权测试的实验室实例运行：

python3 poc.py 127.0.0.1 80

打印请求而不发送：

python3 poc.py 127.0.0.1 80 --dry-run

使用自定义遍历证明值：

python3 poc.py 127.0.0.1 80 --username '../../ecs-traversal-proof.txt'

预期结果

如果目标存在漏洞，服务器将使用遍历控制的 UserName 值处理注册请求。操作员应检查 Easy Chat Server 安装目录或 web/root 目录，查找生成的证明产物。

严重性

建议的严重性取决于部署环境和可到达的写入路径。如果未经身份验证的远程用户可以写入 web 可执行路径，则该问题可能导致远程代码执行，应视为高或严重。如果写入仅限于不可执行的位置，则直接影响是路径遍历和未授权文件写入。

缓解措施

• 拒绝 UserName 中的路径分隔符和遍历序列。
• 在创建文件之前，规范化并验证目标路径。
• 将用户控制的文件存储在固定目录下，并强制容器化。
• 避免直接将用户控制的值用作文件系统路径。
• 在上传/用户数据目录中禁用或限制 web 执行。