DjangoUEditor 1.9.143任意文件上传漏洞依然存在 黑客可以上传木马 但作者已经停止更新了-阿里云开发者社区

开发者社区> 安全> 正文

DjangoUEditor 1.9.143任意文件上传漏洞依然存在 黑客可以上传木马 但作者已经停止更新了

简介:

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件,它的使用率还是相当高的。经笔者测试,即便是现在可以下载使用的1.9.143版本中,依然存在着这个漏洞。

虽然这个漏洞距今已经快两年了,但DjangoUeditor于2015年1月17号后,再也没有更新过,见github上作者的说明:

DjangoUeditor%20not%20update.png

DjangoUeditor是什么

Django是Python世界最有影响力的web框架。DjangoUeditor是一款可以在Django应用中集成百度Ueditor HTML编辑器的插件(Ueditor HTML编辑器是百度开源的在线HTML编辑器)。DjangoUeditor插件上存在一个漏洞,可以导致任意文件上传。

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件,它的使用率还是相当高的;

DjangoUEditor 1.9.143任意文件上传漏洞的修补方法

问题就出在前端对于用户上传的文件类型没有过滤,如果攻击者构造的imagePathFormat参数中的值不是一个单纯的路径,而是一个包含文件名的参数,问题就出现了。经验证,写入的路径也是可以控制的,不仅限于images路径,并且可以覆盖其他的文件。

可以通过修改代码,对用户上传的OutputFile类型进行过滤,只允许符合要求的类型进行上传。



原文发布时间:2017年3月27日

本文由:绿盟科技博客发布,版权归属于原作者

原文链接:http://toutiao.secjia.com/djangoueditor-1-9-143-file-upload-vulnerability

本文来自云栖社区合作伙伴安全加,了解相关信息可以关注安全加网站

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章