Piwigo Unauthenticated Path Traversal (CWE-22) Allows Out-of-Dir Image Write

漏洞概述 漏洞名称：未认证的路径遍历漏洞，允许将派生图片写入到预期的 缓存目录之外 影响版本：Piwigo v16.3.0 漏洞类型：路径遍历 / 路径可控文件写入 CWE：CWE-22 认证要求：无需认证即可触发（公开可达） 触发条件：通过 URL 中的 端点，攻击者可通过构造包含 的路径参数，使派生图片写入到 缓存目录之外 影响范围 受影响版本：Piwigo v16.3.0 影响： - 攻击者可利用路径遍历将派生图片写入到 缓存目录之外 - 可写入到 或 等目录 - 可能导致图片处理逻辑被篡改或缓存目录被污染 修复方案 修复建议： - 对路径参数进行严格校验，过滤或转义 等路径遍历字符 - 限制派生图片的写入路径，确保其始终位于 缓存目录内 - 对文件扩展名进行白名单校验，仅允许 、 、 、 、 等图片格式 - 对路径参数进行规范化处理，防止路径遍历攻击 POC 代码 ```php // 漏洞代码片段 $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src); $src = substr($src, 0, $pos); $src = str_replace('\\', '/', $src)

Goal Reached Thanks to every supporter — we hit 100%!

Piwigo Unauthenticated Path Traversal (CWE-22) Allows Out-of-Dir Image Write

More from this source