CVE-2025-13262CVE-2025-13262是lsfusion platform中的一个高危路径遍历漏洞，CVSS评分7.3。该漏洞存在于web-client组件的UploadFileRequestHandler文件中，由于对用户提供的sid参数缺乏充分的验证和过滤，攻击者可以通过构造特殊的路径字符串（如../）来突破预期的文件上传目录限制，实现目录遍历攻击。此漏洞影响lsfusion platform 6.1及之前的所有版本，攻击者可利用该漏洞在服务器上任意读写文件，可能导致敏感数据泄露、配置文件被篡改，甚至在特定条件下实现远程代码执行。由于该漏洞的利用无需认证且可远程发起，因此风险级别较高。建议受影响的用户尽快升级到最新版本或采取临时缓解措施。
该漏洞的根本原因在于lsfusion platform的UploadFileRequestHandler类对用户输入的sid参数处理不当。在文件上传功能中，sid参数用于标识文件存储路径，但后端代码未对参数值进行严格的路径安全验证。攻击者可以通过在sid参数中注入路径遍历序列（如../），使服务器将文件写入预期目录之外的任意位置。例如，通过构造类似../../../etc/passwd的路径，攻击者可以将任意内容写入系统关键文件。在某些配置下，这种文件写入操作可能被滥用来实现远程代码执行。漏洞存在于platform/web-client/src/main/java/lsfusion/http/controller/file/UploadFileRequestHandler.java文件中，攻击向量为网络形式，无需任何认证或用户交互即可被利用。