导语：WidzialniCMS 任意文件上传漏洞（CVE-2026-110468）是近期 NVD 披露的一枚高危未授权 RCE 漏洞，其根因在于
/panel/controllers/save_photo.php端点将权限校验参数交由客户端控制，并对currentpath参数缺乏有效约束，攻击者无需任何凭证即可将任意文件写入服务器任意路径并触发远程代码执行。本文从架构师视角完整拆解这条攻击链，并给出可立即落地的应急响应与修复方案。
一、WidzialniCMS 任意文件上传漏洞的威胁画像与影响面
CVE-2026-110468 被归类为「Unrestricted File Upload」，但从攻击链的完整度来看，它实际上是一条未授权 → 任意文件写入 → 远程代码执行的完整杀伤链。与常见的「需要登录后台才能上传 webshell」的漏洞不同，本次漏洞的核心危害在于权限校验被前移到客户端，服务端并未对请求来源做可信判定。
从资产暴露面来看，WidzialniCMS 多部署于中小型政企门户与内容站点，这类站点往往直接暴露在公网、缺少 WAF 前置、且运维力量薄弱，一旦被批量扫描器命中，极易在数小时内被植入持久化后门。更危险的是，攻击者可将文件写入 currentpath 指定的任意目录，这意味着不仅能写入 Web 根目录，还能覆盖配置文件、写入计划任务脚本，甚至污染其他站点的共享目录。
该漏洞无需任何认证即可利用。任何暴露在公网的 WidzialniCMS 2.5 以下版本实例，都应视为已被入侵的高危资产，建议在修复的同时立即开展主机侧入侵排查（Web 目录新增文件、异常进程、计划任务、SSH 公钥）。
企业级架构规范
flowchart TD
subgraph 攻击入口层 ["攻击入口层 (Attack Entry Tier)"]
A["未授权攻击者构造 multipart 请求"] --> B["POST /panel/controllers/save_photo.php"]
end
subgraph 校验绕过层 ["校验绕过层 (Bypass Tier)"]
B --> C["客户端可控权限参数 (permission=1)"]
C --> D["currentpath 路径穿越 (../../)"]
end
subgraph 写入执行层 ["写入执行层 (Write & Execute Tier)"]
D --> E["任意目录写入恶意 PHP 文件"]
E --> F["HTTP 访问触发远程代码执行"]
end
subgraph 持久化层 ["持久化与横向层 (Persistence Tier)"]
F --> G["植入后门 / 覆盖配置 / 横向移动"]
end
二、源码级根因拆解：两个致命缺陷的叠加
2.1 缺陷一：客户端可控的权限校验参数
在 save_photo.php 中，权限判定逻辑依赖请求体中携带的权限标志位，而非服务端会话（Session/Token）中的身份状态。这种「信任客户端」的设计在安全工程中属于典型的信任边界错置：攻击者只需在请求中伪造该参数，即可让服务端认为当前请求来自已授权用户。
从架构层面看，这违反了最小权限原则与纵深防御原则。正确的做法是：所有授权判定必须基于服务端可信上下文（会话、JWT 签名校验结果），客户端传入的任何权限字段只能作为「提示」，绝不能作为「依据」。
2.2 缺陷二：currentpath 参数缺乏规范化与白名单约束
第二个缺陷是 currentpath 参数在拼接目标路径时未做规范化处理，攻击者可通过 ../ 序列实现目录穿越，将上传目标指向 Web 根目录之外的任意位置。即使上传目录本身被限制在 /uploads 下，路径穿越也能让写入点逃逸出该沙箱。
这两个缺陷的叠加效应是致命的：权限校验被绕过解决了「能不能上传」的问题，路径穿越解决了「传到哪里」的问题，二者结合即构成完整的未授权任意文件写入能力。
文件上传的安全设计应遵循「三重校验」模型：身份校验（服务端会话）→ 类型校验（扩展名白名单 + MIME + 魔数）→ 路径校验（realpath 规范化 + 前缀白名单）。任何一环缺失，都可能被单独利用或组合利用。
三、复现验证与检测思路
在授权测试环境中，验证该漏洞的核心是构造一个携带伪造权限参数与路径穿越序列的 multipart 请求。以下为验证性 PoC 片段，仅用于安全测试与自查，请勿用于未授权目标。
# 构造携带伪造权限参数与路径穿越的上传请求 curl -i -X POST 'http://target/panel/controllers/save_photo.php' -F 'permission=1' -F 'currentpath=../../../../var/www/html/' -F 'photo=@shell.php;type=image/jpeg' # 若返回 200 且目标路径出现 shell.php，则确认存在漏洞 curl -i 'http://target/shell.php?cmd=id'
检测层面，建议在边界流量中重点监控两类特征：一是对 save_photo.php 的 POST 请求中出现 ../ 路径序列；二是上传请求的 Content-Type 与文件扩展名不匹配（如声明 image/jpeg 但文件名为 .php）。这两类特征可作为 WAF 虚拟补丁的规则基础。
切勿在生产环境直接执行 PoC。验证应在隔离的测试实例中进行，且验证完成后立即清理写入的测试文件，避免残留 webshell 被外部扫描器二次利用。
四、修复方案与工业级加固实践
4.1 官方修复：升级至 2.5 版本
官方已在 2.5 版本中修复该问题。对于可停机维护的实例，应优先执行版本升级，这是根治方案。升级前务必做好数据库与站点目录的完整备份，并在预发环境验证插件与主题兼容性。
点击展开：升级执行命令与回滚备用脚本
# 1. 备份站点与数据库 cd /var/www/widzialni tar -czf /backup/widzialni-$(date +%F).tar.gz . mysqldump -u root -p widzialni > /backup/widzialni-db-$(date +%F).sql # 2. 拉取 2.5 版本并覆盖（保留 config 与 uploads） cd /tmp wget https://example.com/widzialni-2.5.zip unzip -o widzialni-2.5.zip -d /var/www/widzialni-new rsync -av --exclude='config/' --exclude='uploads/' /var/www/widzialni-new/ /var/www/widzialni/ # 3. 回滚（如升级异常） # tar -xzf /backup/widzialni-YYYY-MM-DD.tar.gz -C /var/www/widzialni
4.2 无法立即升级时的临时缓解
对于无法立即升级的实例，应采取「边界拦截 + 主机加固」的双层临时缓解策略，将风险窗口压缩到最小。
- WAF 虚拟补丁：拦截对
save_photo.php且包含../或可疑权限参数的请求。 - 端点下线：若业务不依赖该上传端点，直接在 Nginx 层返回 403。
- 目录不可执行：将上传目录配置为禁止 PHP 解析，切断「写入即可执行」的链路。
- 文件系统只读挂载：对非必要可写目录采用只读挂载，限制写入逃逸面。
; 关闭危险的上传进度与远程包含 session.upload_progress.enabled = 0 allow_url_include = 0 allow_url_fopen = 0 ; 限制上传大小与临时目录 upload_max_filesize = 8M upload_tmp_dir = /var/www/tmp_upload ; 禁用危险函数（按业务评估） disable_functions = exec,passthru,shell_exec,system,proc_open,popen
临时缓解只是「止血」，不能替代版本升级。建议将升级纳入 72 小时内的强制变更窗口，并在升级完成后对主机进行完整的入侵排查，确认无残留后门。
五、方案对比与长期安全左移
| 防护层次 | 传统做法 | 现代加固方案 | 架构收益 |
|---|---|---|---|
| 权限校验 | 客户端传参判定 | 服务端会话 + 签名 Token 校验 | 杜绝伪造 |
| 路径处理 | 字符串拼接 | realpath 规范化 + 前缀白名单 | 阻断穿越 |
| 文件类型 | 仅校验扩展名 | 扩展名 + MIME + 魔数三重校验 | 防伪装 |
| 执行隔离 | 上传目录可执行 | 上传目录禁解析 + 独立域名 | 切断 RCE |
| 边界防护 | 无 WAF | WAF 虚拟补丁 + 流量特征监控 | 争取窗口 |
从长期看，WidzialniCMS 任意文件上传漏洞的教训应被沉淀为研发流程中的安全左移实践：在 CI 阶段引入 SAST 规则检测「客户端可控权限参数」与「路径拼接未规范化」两类反模式；在代码评审清单中加入文件上传专项检查项；在发布前对上传端点执行自动化安全回归。唯有把安全校验内建到研发流水线，才能避免同类漏洞在下一个版本中复发。