安全研究

业界动态
DjangoUEditor 1.9.143任意文件上传漏洞依然存在 黑客可以上传木马 但作者已经停止更新了

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件,它的使用率还是相当高的。经笔者测试,即便是现在可以下载使用的1.9.143版本中,依然存在着这个漏洞。   

 

虽然这个漏洞距今已经快两年了,但DjangoUeditor于2015年1月17号后,再也没有更新过,见github上作者的说明:   

 


DjangoUeditor是什么   

 

Django是Python世界最有影响力的web框架。DjangoUeditor是一款可以在Django应用中集成百度Ueditor HTML编辑器的插件(Ueditor HTML编辑器是百度开源的在线HTML编辑器)。DjangoUeditor插件上存在一个漏洞,可以导致任意文件上传。   

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件,它的使用率还是相当高的;   

 

DjangoUEditor 1.9.143任意文件上传漏洞的修补方法   

 

问题就出在前端对于用户上传的文件类型没有过滤,如果攻击者构造的imagePathFormat参数中的值不是一个单纯的路径,而是一个包含文件名的参数,问题就出现了。经验证,写入的路径也是可以控制的,不仅限于images路径,并且可以覆盖其他的文件。   

 

可以通过修改代码,对用户上传的OutputFile类型进行过滤,只允许符合要求的类型进行上传。   

 

本文由:NSFOCUSblog 发布,版权归属于原作者。                        
如果转载,请注明出处及本文链接:                        
http://toutiao.secjia.com/djangoueditor-1-9-143-file-upload-vulnerability
如果此文章侵权,请留言,我们进行删除。


浏览次数:

关 闭