Fix: Path Traversal & Command Injection in Backup Restore

漏洞关键信息总结 漏洞概述 该 PR 针对备份恢复流程中的路径遍历（path traversal）与命令注入（command injection）漏洞进行修复，主要涉及 ZIP 解包与数据库导入两个环节。 影响范围 ZIP 解包阶段： 在解包 ZIP 时未对条目路径做充分校验，攻击者可构造含 、绝对路径或空字节的 ZIP 条目，导致文件被写入预期之外的目录。 数据库导入阶段：MySQL、PostgreSQL、SQLite 的导入命令直接拼接 dump 文件路径，未做 shell 转义，存在 shell 元字符注入风险。 dump 文件发现阶段： 未严格过滤文件名，恶意命名的文件可能被误识别为有效 dump 文件。 修复方案 1. ZIP 解包安全加固 - 在 中新增 方法，拒绝含空字节、绝对路径或路径遍历（ ）的 ZIP 条目，并抛出带 自定义异常的 。 - 更新 PHPStan 基线以适配新异常用法。 - 新增测试验证含路径遍历的 ZIP 条目会被正确拒绝。 2. Shell 命令安全 - 在 MySQL、PostgreSQL、SQLite 导入命令中，对所有 dump 文件路径使用 进行 shell 转义，防止命令注入。 - 新增测试覆盖各数据库类型，确保 dump 文件路径在所有导入命令中均被正确转义。 3. dump 文件发现逻辑 - 修改 ，仅匹配严格白名单内的安全文件名，排除含 shell 元字符的文件。 - 新增测试验证仅保留安全的 dump 文件，恶意命名文件被排除。 POC / 利用代码 截图中未包含独立的 POC 或利用代码块，修复以方法级改动与测试用例形式呈现（如 、 调用），无单独的可执行 POC 代码。

目標達成すべての支援者に感謝 — 100%達成しました！

Fix: Path Traversal & Command Injection in Backup Restore

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Fix: Path Traversal & Command Injection in Backup Restore

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！