一、 漏洞 CVE-2026-1152 基础信息
漏洞信息
# technical-laohu mpay 二维码无限制上传漏洞
## 概述
技术老虎 mpay 系统在版本 1.2.4 及之前存在安全漏洞，位于“二维码图像处理程序”组件的未知函数中。通过操纵参数 `codeimg`，攻击者可实现无限制文件上传。
## 影响版本
技术老虎 mpay 1.2.4 及更早版本。
## 细节
漏洞存在于 QR Code Image Handler 组件中，对输入参数 `codeimg` 缺乏有效验证与过滤，导致攻击者可通过构造恶意请求上传任意文件，可能获取服务器控制权。
## 影响
攻击者可远程利用该漏洞进行任意文件上传，可能进一步导致服务器被完全控制。该漏洞的利用方式已公开并可能被实际使用。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
technical-laohu mpay QR Code Image unrestricted upload
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A security vulnerability has been detected in technical-laohu mpay up to 1.2.4. The impacted element is an unknown function of the component QR Code Image Handler. Such manipulation of the argument codeimg leads to unrestricted upload. The attack may be launched remotely. The exploit has been disclosed publicly and may be used.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
危险类型文件的不加限制上传
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-1152 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-1152 的情报信息
标题： The latest mpay v1.2.4 version contains an arbitrary file upload vulnerability · Issue #17 · bdkuzma/vuln -- 🔗来源链接
标签：exploitissue-tracking
神龙速读：### 关键信息总结 #### 漏洞描述 - **漏洞类型**: 任意文件上传漏洞 - **受影响产品及版本**: `mpay` 的最新版本 `v1.2.4` #### 漏洞细节 - 在`mpay`账户管理的二维码图像上传功能中存在漏洞，允许攻击者上传恶意文件（如webshell、病毒、恶意脚本），从而控制服务器或窃取敏感信息。 #### 证据 - 展示了攻击者如何利用该漏洞上传PHP info脚本，并成功执行。 #### 修复建议 - 严格限制上传文件类型，仅允许特定格式（如图片、文档等），并校验文件头信息。 - 限制上传目录的权限，以防止其被执行脚本。 - 使用随机文件名存储上传文件，避免不可预测的路径。 - 对上传文件执行内容扫描，检测恶意代码。
标题： Login required -- 🔗来源链接
标签：signaturepermissions-required
神龙速读：### 关键漏洞信息 - **Vulnerability ID**: VDB-341745 - **CVE ID**: CVE-2026-1152 - **GCVE ID**: GCVE-100-341745 - **Title**: TECHNICAL-LAOHU MPAY UP TO 1.2.4 QR CODE IMAGE CODEIMG UNRESTRICTED UPLOAD - **Description**: An authentication is required to view the detailed information about this vulnerability. - **Access**: Login required to access the full details. - **Additional Information**: - This page is hosted by VulDB. - Page version: v19.25.0
- https://vuldb.com/?id.341745vdb-entrytechnical-description
标题： Submit #735775: https://gitee.com/technical-laohu/mpay mpay v1.2.4 Arbitrary file upload vulnerability -- 🔗来源链接
标签：third-party-advisory
神龙速读：- **Title:** https://gitee.com/technical-laohu/mpay mpay v1.2.4 Arbitrary file upload vulnerability - **Description:** - There is an arbitrary file upload vulnerability in the QR code image upload function of mpay account management in the latest v1.2.4 version. Attackers can upload malicious files (such as webshells, viruses, and malicious scripts) to gain control of the server or steal sensitive information. - **Source Link:**  - **Source User:** baihekuz (UID 84516) - **Submission Date:** 01/10/2026 05:22 AM (10 days ago) - **Moderation Date:** 01/18/2026 02:59 PM (8 days later) - **Status:** Accepted - **VulDB Entry:** 341745 [technical-laohu mpay up to 1.2.4 QR Code Image codeimg unrestricted upload] - **Points:** 18
- https://nvd.nist.gov/vuln/detail/CVE-2026-1152
四、漏洞 CVE-2026-1152 的评论
暂无评论