一、 漏洞 CVE-2025-53632 基础信息
漏洞信息
                                        # Chall-Manager 的场景解码过程没有检查zip slips

## 漏洞概述
Chall-Manager 是一个平台无关的系统，能够在玩家需求时启动挑战任务。在其解码场景（例如一个 zip 压缩包）时，未检查文件写入路径，可能导致 zip slip 攻击。该漏洞无需认证和授权，任何人可以进行利用。然而，由于 Chall-Manager 的强大功能，建议将其深入部署在基础设施中，避免用户直接访问。

## 影响版本
- 影响版本: 早于 v0.1.4 的所有版本
- 修复版本: v0.1.4

## 细节
在解码 zip 压缩包时，Chall-Manager 未正确检查要写入文件的路径，这可能导致 zip slip 攻击。攻击者无需进行认证或授权就可利用此漏洞。此漏洞已在 commit 47d188f 中修复，并在 v0.1.4 版本中发布。

## 影响
- 任何人可利用此漏洞，不需要认证或授权。
- 尽管该系统建议被部署在深度基础设施中，但若安全措施不当，用户仍可能存在暴露风险。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Chall-Manager's scenario decoding process does not check for zip slips
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Chall-Manager is a platform-agnostic system able to start Challenges on Demand of a player. When decoding a scenario (i.e. a zip archive), the path of the file to write is not checked, potentially leading to zip slips. Exploitation does not require authentication nor authorization, so anyone can exploit it. It should nonetheless not be exploitable as it is highly recommended to bury Chall-Manager deep within the infrastructure due to its large capabilities, so no users could reach the system. Patch has been implemented by commit 47d188f and shipped in v0.1.4.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：美国国家漏洞数据库 NVD
漏洞标题
Chall-Manager 路径遍历漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Chall-Manager是CTFer.io开源的一个开源项目。 Chall-Manager 0.1.4之前版本存在路径遍历漏洞，该漏洞源于解压zip文件时未检查文件路径，可能导致任意文件覆盖。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
路径遍历
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-53632 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-53632 的情报信息