CVE-2025-15449 CVSS 5.4 中危

CVE-2025-15449 JavaMall MinioController路径遍历漏洞

披露日期: 2026-01-05

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-15449

漏洞类型

路径遍历

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

cld378632668 JavaMall

漏洞概述

CVE-2025-15449是JavaMall电商系统中的一个中等严重性路径遍历漏洞。该漏洞存在于MinioController.java文件的delete函数中，攻击者可以通过构造特殊的objectName参数来访问系统任意文件。由于该漏洞可被远程利用，且不需要高权限，使得攻击门槛相对较低。虽然CVSS评分为5.4（中等），但成功利用可能导致敏感文件泄露或系统配置信息暴露，对企业数据安全构成威胁。

技术细节

漏洞位于src/main/java/com/macro/mall/controller/MinioController.java的delete函数中。该函数在处理objectName参数时未进行充分的路径验证，攻击者可以使用../等路径遍历序列来跳出预期的目录限制。例如，通过构造类似../../../etc/passwd的objectName，攻击者可以删除服务器上的任意文件。漏洞的根源在于对用户输入的objectName参数缺少规范化路径检查和访问控制验证。

攻击链分析

STEP 1

攻击者识别出JavaMall系统中MinioController的delete接口端点

STEP 2

通过低权限账户获取有效访问令牌

STEP 3

构造包含路径遍历序列的objectName参数（如../../../etc/passwd）

STEP 4

发送恶意请求至delete函数

STEP 5

服务器解析路径遍历序列后执行非授权文件操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

url = "http://target.com/api/minio/delete"
headers = {"Authorization": "Bearer <token>"}
payload = {"objectName": "../../../etc/passwd"}
response = requests.post(url, json=payload, headers=headers)
print(response.json())

影响范围

JavaMall < 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0

防御指南

临时缓解措施

立即对MinioController.java的delete函数进行代码修复，对objectName参数实施严格的路径验证和规范化处理，限制文件操作在指定目录内进行。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表