DotNetTextBox编辑器洞洞 上传任意文件

摘要

漏洞作者： piaox提交时间： 2013-03-12 17:27
公开时间： 2013-04-26 17:28漏洞类型： 设计缺陷/逻辑错误
简要描述：

漏洞作者： piaox

提交时间： 2013-03-12 17:27
公开时间： 2013-04-26 17:28

漏洞类型： 设计缺陷/逻辑错误
简要描述：

DotNetTextBox编辑器洞洞文件上传漏洞

详细说明：

漏洞证明：

1、用firebug将disabled="disabled'，value="jgp,gif,png"修改为enabled="enabled",value="jpg,gif,png,aspx"，然后点更新成功按钮

 

2、弹出更新成功

 

3、刷新页面，发现此时可允许上传的图片类型，成功新增aspx类型

 

4、找个aspx webshell上传、提示文件上传成功

 

5、上传成功、成功躺在那里

 

6、webshell页面