CVE-2023-27178 GDidees CMS任意文件上传漏洞复现与利用分析

0x00 团队声明

该漏洞为我团队漏洞监测平台发现，仅供学习参考使用，请勿用作违法用途，否则后果自负。

0x01 漏洞概述
漏洞编号：CVE-2023-27178
GDidees CMS是法国一款开源的网站管理工具，可用于创建站点、照片或视频库。GDidees CMS 3.9.1及以下版本存在任意文件上传漏洞，允许未经授权的攻击者上传精心构造的文件并执行任意代码。
0x02 影响版本

GDidees CMS 3.9.1及以下。

0x03 漏洞复现

创建文件格式为phar的一句话木马文件。

访问Roxy Fileman插件页面。

上传木马

此时我们发现，携带参数cmd=echo ‘csx lab’;访问cmd.phar页面，可以看到php代码成功执行。证明漏洞存在。

漏洞分析：

Roxy Fileman插件的index页面没有身份验证功能，因此允许用户直接访问该页面。

查看Roxy Fileman的conf.json文件，可以发现FORBIDDEN_UPLOADS字段未限制phar格式。

0x04 整改意见

①修改conf.json文件中的FORBIDDEN_UPLOADS字段，禁止上传phar格式的文件。
0x05 关注我们

原文始发于微信公众号（小白嘿课）：CVE-2023-27178 GDidees CMS任意文件上传漏洞复现与利用分析