RuoYi-Vue-Pro AppFileController Unauthenticated Path Traversal and Arbitrary File Write Vulnerability Analysis

ruoyi-vue-pro AppFileController 無認証パストラバースリによる任意ファイル書き込み #1146 基本情報 脆弱性 ID: VULN-01 脆弱性タイプ: 認証の欠如 (CWE-306) + パストラバースリ (CWE-22) 重大度レベル: 高 CVSS 3.1: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) コンポーネント: YudaoModuleInfra (yudao-module-infra) 影響を受けるバージョン: 2026-04-jdk8-SNAPSHOT で確認 プロジェクト URL: https://gitee.com/YunaiV/ruoyi-vue-pro 発見日: 2026-05-28 レポートステータス: 未修正（注：末尾コメントで修正済みと記載されている） 脆弱性の説明 概要 ruoyi-vue-pro の AppFileController において、ファイルアップロードインターフェースが アノテーションを使用しており、完全に未認証のリモート攻撃者がシステムに任意のファイルをアップロードできる状態にしています。同時に、LocalFileClient と FileServiceImpl は、ファイル保存パスを構築する際、パストラバースリ文字 や に対してフィルタリングや正規化の処理を行っていません。 これら二つの脆弱性を組み合わせて利用することで、攻撃者は認証情報なしに以下のことを実行できます： 1. サーバーの任意のディレクトリにファイルを書き込む（同一ディスクパーティション内） 2. フロントエンドの静的ページを上書きし、永続化された XSS を実装する 3. システム設定ディレクトリ内のファイルを上書きする（実行時設定へのさらなる影響は、デプロイ方式、設定の読み込み優先度、およびサービス再起動条件に依存する） 4. 任意のファイルを書き込み、または上書きする（実行可能性はデプロイディレクトリと実行時の解析方式に依存する） 根本原因分析 脆弱性を生み出す呼び出しチェーン： 重要なコードの欠陥： 1. 認証の欠如：AppFileController.java:39 — により未認証ユーザーもアップロード可能 2. パスの非正規化：FileServiceImpl.java:134-136 — directory がそのままパスに連結 3. ファイル名の未フィルタリング：FileServiceImpl.java:78 — file.getOriginalFilename() がそのまま保持される（ などを含む） 4. 保存パスの防衛機構なし：LocalFileClient.java:52-53 — basePath + File.separator + path の単純な連結 影響範囲 「ローカルファイルストレージ (Local storage)」を使用するすべての ruoyi-vue-pro デプロイ実例 JDK 8 / JDK 11 / JDK 21 バージョンすべてが影響を受ける（JDK バージョンに依存しない） より広範な影響：ローカルファイルシステム（storage=19）；OSS/S3/SFTP ストレージはパストラバースリの影響を受けないが、未認証アップロードの問題は同様に存在する 再現手順 環境 対象アドレス：http://localhost:28088 ストレージタイプ：Local (id=36)、basePath は E:\download\ruoyi-vue-pro-master\upload Cookie、Token、認証ヘッダーは一切不要 POC 1: 未認証ファイルアップロード 応答 (code=0 は成功を示す)： 実測出力： ファイルは (basePath)/test/20260528/win.ini に書き込まれます。 POC 2: パストラバースリ — 任意のディレクトリへの書き込み 応答： ファイルが実際に書き込まれた場所：E:\test\20260528\win.ini （basePath の制限を超えてディスクディレクトリに到達） POC 3: フロントエンドページのページを上書きし永続化 XSS を実装（検証済み） ファイル名中の を使用してパス内の日付ディレクトリを打ち消し、目標ファイルを正確に上書きします。 実測結果：http://localhost:1024 にアクセスした際、XSS アラートが表示され、現在のドメイン下の cookie が正常に読み取られました。 Vite 開発サーバーはファイル変更を検知した後に自動リフレッシュを実行し、管理バックエンドのページが完全に置き換えられました。攻撃者は JavaScript を注入して以下のことが可能です： 管理ページ内の SessionToken（localStorage.accessToken）を窃取する リクエストを偽装して管理者パスワードを取得する ビジネスデータの表示を改ざんする XSS を通して cookie を取得する POC 4: アプリ設定ディレクトリへの書き込み この方式により、アプリ設定ディレクトリ内のファイルを上書きしようとする試みが可能です。実行時設定にさらなる影響があるかどうかは、デプロイ方式、設定の読み込み優先度、およびサービス再起動条件に依存します。 修正提案 短期修正（コードレベル） 1. を削除し、セキュリティフレームワークを統一する 2. パストラバースリ文字をフィルタリングする 3. ファイル名を書き換える（UUID 使用を推奨） 4. ファイル書き込み範囲を制限する 長期修正（アーキテクチャレベル） オブジェクトストレージ（OSS/S3）をローカルファイルストレージの代替として使用する アップロードインターフェースに対して認証（JWT/OAuth2）を強制する アップロードファイルタイプのホワイトリストメカニズムを実装する アップロード頻度制限とファイルサイズ制限を追加する WAF ルールをデプロイしてパストラバースリのペイロードをブロックする 脆弱性の影響分析 脆弱性コード詳細 1. AppFileController — 未認証アップロード入口 ファイル：yudao-module-infra/src/main/java/io/renocoder/yudao/module/infra/controller/app/file/AppFileController.java 2. FileServiceImpl — パス生成の未フィルタリング ファイル：yudao-module-infra/src/main/java/io/renocoder/yudao/module/infra/service/file/FileServiceImpl.java 3. LocalFileClient — ストレージ層の防衛機構なし ファイル：yudao-module-infra/src/main/java/io/renocoder/yudao/module/infra/framework/file/core/client/local/LocalFileClient.java 修正提案 短期修正（コードレベル） 1. を削除し、セキュリティフレームワークを統一する 2. パストラバースリ文字をフィルタリングする 3. ファイル名を書き換える（UUID 使用を推奨） 4. ファイル書き込み範囲を制限する 長期修正（アーキテクチャレベル） オブジェクトストレージ（OSS/S3）をローカルファイルストレージの代替として使用する アップロードインターフェースに対して認証（JWT/OAuth2）を強制する アップロードファイルタイプのホワイトリストメカニズムを実装する アップロード頻度制限とファイルサイズ制限を追加する WAF ルールをデプロイしてパストラバースリのペイロードをブロックする コメント YunaiV 氏 5月30日 修正済み、フィードバック感謝します。 修正コミット： 今回の修正では App ファイルアップロードインターフェースの は維持しましたが、パラメータ検証を補完しました。同時にファイルパスの統一検証を追加し、不正なファイル名、絶対パス、 ディレクトリトラバースリ、逆スラッシュ、Windows ドライブ記号などのパスを拒否するようにしました。LocalFileClient にも basePath の境界検証を追加し、最終的な読み書きパスがローカルストレージの権限超過を招かないことを保証しました。関連する単体テストを補い、すべてパスしています。

目標達成すべての支援者に感謝 — 100%達成しました！

RuoYi-Vue-Pro AppFileController Unauthenticated Path Traversal and Arbitrary File Write Vulnerability Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

RuoYi-Vue-Pro AppFileController Unauthenticated Path Traversal and Arbitrary File Write Vulnerability Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！