Backpack/CrUD CVE-2025-54177: RCE via public-disk file upload

漏洞总结：HasUploadFields 保留攻击者提供的文件扩展名 漏洞概述 漏洞名称：HasUploadFields 保留攻击者提供的文件扩展名——public-disk 上传的 可到达 Web 服务器 严重程度：Moderate（CVSS v3.1 评分 6.0 / 10） CVE 编号：CVE-2025-54177 CWE：CWE-434（不受限的文件上传） 报告者：Vitali Shulda（@shulda30）via sechub.dev 发布日期：2025年6月15日 影响范围 受影响包： （Composer） 受影响版本： - - 修复版本： - - 技术细节 （通过 在 Backpack 管理的模型上使用）和 上传器会保留客户端提供的文件扩展名，且不做校验。 在安装了使用 disk 并执行 的环境中，经过身份验证的管理员可以上传一个具有服务器可执行扩展名（如 ）的文件，该文件会被传递给 PHP 解释器（当没有 MIME 或其他类型的上传验证时）。 和 方法会对文件名主干进行哈希处理，但会将客户端提供的扩展名原样写入磁盘路径——没有对 allowlist、blocklist 或 MIME 检查。 路径（通过 ）解析的是文件自身的 MIME 类型扩展名，而非客户端文件名，但同样不阻止服务器可执行类型。 利用条件 经过身份验证的管理员访问 Backpack CRUD 面板 一个上传字段，且没有 / 验证规则 站点使用 disk（标准模式，用于 Web 可见的上传） 已执行 Web 服务器 + PHP-FPM 栈（大多数主机上的默认配置） 影响 经过身份验证的管理员，在满足上述条件的站点上，可以上传一个服务器可执行文件并实现远程代码执行（RCE）。 修复方案 在 和 中为服务器可执行扩展名添加了denylist（拒绝列表）。 图像上传字段额外强制执行allowlist（允许列表）。 该修复是纵深防御（defense-in-depth），不能替代应用层面的验证。 推荐开发者操作 审查所有上传字段，添加显式的 或 验证规则。 参考 Backpack 字段文档中的示例。

目標達成すべての支援者に感謝 — 100%達成しました！

Backpack/CrUD CVE-2025-54177: RCE via public-disk file upload

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Backpack/CrUD CVE-2025-54177: RCE via public-disk file upload

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！