Feng Office Community Edition未授权任意文件上传及存储型XSS漏洞(CVE-2026-36669)分析

漏洞概述 CVE-2026-36669：Feng Office Community Edition 中存在未认证的任意文件上传漏洞。攻击者可以上传任意文件（包括恶意 或 脚本）到可 Web 访问的目录。由于缺乏 会话 cookie 保护，该漏洞可导致存储型跨站脚本攻击（XSS）和管理员会话劫持。 --- 影响范围 受影响产品：Feng Office Community Edition 受影响版本：3.11.13.11 及更早版本 漏洞类型：未授权的文件上传（CWE-434）、关键功能缺少认证（CWE-306） 利用状态：概念验证已验证 修复状态：未修补（厂商已通知，但标准披露窗口内无补丁） --- 修复方案 1. 实施认证强制 确保 在处理任何文件上传前检查活跃的管理员会话。 2. 重新启用服务端文件验证 取消注释并严格执行扩展名检查，拒绝所有不匹配预期非可执行图像 MIME 类型的上传： 3. 强制 HttpOnly Cookies 修改 PHP 配置或应用引导配置，确保会话 cookie 不可通过客户端脚本 API 访问： --- 概念验证（PoC）代码 请求示例： test.html 内容： 预期响应（若存在漏洞）： --- 披露时间线 2026年2月20日：初始漏洞发现并通知 Feng Office 支持团队。 2026年3月12日：从 MITRE 请求 CVE 标识符。 2026年3月15日：厂商确认收到报告并要求暂停审查。 2026年3月29日：MITRE 正式分配 CVE-2026-36669。 2026年6月29日：发送最终通知， outlining 14天标准披露时间线。 2026年7月13日：协调响应/补丁窗口到期，无响应。 2026年7月15日：公开披露该安全公告。 --- 发现者 Soufiane LAGZIRI

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Feng Office Community Edition未授权任意文件上传及存储型XSS漏洞(CVE-2026-36669)分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Feng Office Community Edition未授权任意文件上传及存储型XSS漏洞(CVE-2026-36669)分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！