CVE-2025-65346 – laravel-file-manager v3.3.1 中从 UnZip 函数引发的已认证路径遍历导致任意文件写入

🧭 概述

受影响应用程序的 unzip/解压功能中存在路径遍历漏洞，允许攻击者在归档解压过程中将文件写入文件系统的任意位置。由于解压例程未能清理 ZIP 条目中的目标路径，攻击者可以构造包含遍历序列（例如 ../../routes）或绝对路径的 ZIP 归档。当应用程序处理这些归档时，文件会以运行进程的权限被直接解压到指定位置。

该缺陷可被滥用以覆盖现有文件、植入可执行载荷或修改应用程序行为，从而可能导致远程代码执行。

🧱 受影响组件

• 项目： laravel-file-manager
• 组件： zip/归档功能
• 受影响版本： v3.3.1 及以下

🎯 攻击向量

1. 攻击者将 ZIP 归档上传或提供给应用程序的解压端点（根据配置，可能要求也可能不要求身份验证）。
2. 操纵 UNZIP 请求负载，使其包含目录遍历序列，例如 ../../routes。
3. 后端解压逻辑未经验证即解析这些路径，并直接将文件写入相应位置。
4. 如果文件名冲突，现有文件可能会被静默覆盖。
5. 攻击者能够替换应用程序文件、写入 Web Shell 或修改关键配置文件。

💥 影响

• 任意文件写入：文件可被写入应用程序用户（例如 www-data）可写的任何位置。
• 文件覆盖：攻击者可覆盖合法应用程序文件，包括路由、控制器或配置。
• 远程代码执行：通过将 PHP、JSP 或其他 Web 可执行载荷写入 Web 根目录，攻击者可以实现完整代码执行。
• 应用程序入侵：修改入口点（如 index.php）可能改变站点逻辑或引入持久性后门。
• 权限提升（间接）：覆盖配置/环境文件可能泄露机密，从而便于进一步横向移动。

严重程度：严重

基础分数：9.1

向量：CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

🛡️ 建议修复措施

• 实施规范化路径验证：将请求的文件路径规范化，并严格限制在项目指定的存储根目录内。
• 拒绝任何包含遍历序列（../、%2e%2e/、嵌套遍历）的路径。
• 应用服务端白名单逻辑。
• 供应商发布修复此路径遍历弱点的补丁后，升级到已修复版本。

🙏 致谢

发现并报告者：Theethat Thamwasin