WidzialniCMS 文件上传漏洞深度剖析：CVE-2026-110469 未授权任意文件写入与 RCE 攻击链及 2.5 版本修复实战

导语：WidzialniCMS 文件上传漏洞（CVE-2026-110469）是一次典型的“客户端信任”型高危缺陷——攻击者仅需构造一个可控的权限参数与越界 uploadPath，即可在未认证状态下向服务器任意目录写入恶意脚本并触发远程代码执行。本文以架构师视角完整还原攻击链、拆解根因代码，并给出可直接落地的检测、应急与加固方案。

flowchart TD
    subgraph 攻击入口层 ["攻击入口层 (Attacker Entry Tier)"]
        A["未认证攻击者构造 multipart 请求"] --> B["POST /panel/upload.php"]
    end
    subgraph 校验绕过层 ["校验绕过层 (Bypass Tier)"]
        B --> C["客户端可控权限参数 is_admin=true"]
        C --> D["uploadPath 参数注入 ../../ 路径穿越"]
    end
    subgraph 写入执行层 ["写入执行层 (Write & Exec Tier)"]
        D --> E["任意目录写入 webshell.php"]
        E --> F["HTTP 访问触发远程代码执行"]
    end
    subgraph 影响面 ["影响面 (Impact Tier)"]
        F --> G[("服务器完全失陷 / 数据泄露")]
    end
  

一、事件背景与漏洞定级

CVE-2026-110469 由 NVD 收录，影响 WidzialniCMS 2.5 之前版本。漏洞位于 /panel/upload.php 端点，核心问题有两个：其一，权限校验依赖客户端提交的参数（client-controlled permission check parameter），服务端未做独立鉴权；其二，uploadPath 参数未做规范化与白名单校验，允许路径穿越。两者叠加，使未认证攻击者可向服务器任意位置写入任意文件，最终导致远程代码执行。

二、WidzialniCMS 文件上传漏洞根因拆解

2.1 客户端可控的权限参数

在受影响版本中，upload.php 通过读取请求体中的字段（如 is_admin、permission 等）判断调用者是否具备上传权限。这类“把授权决策交给客户端”的写法，等价于没有鉴权。攻击者只需在表单中附加 is_admin=1 即可通过检查。

2.2 uploadPath 路径穿越

上传目标目录直接拼接自 uploadPath 参数，且未经过 realpath() 归一化与根目录前缀校验。攻击者提交 uploadPath=../../ 即可将文件写到 Web 根目录甚至系统目录，配合可执行扩展名完成 RCE。

2.3 漏洞触发代码示意（受影响版本）

<?php
// 危险写法：权限来自客户端参数
$isAdmin = $_POST['is_admin'] ?? false;
if (!$isAdmin) {
    die('permission denied');
}

// 危险写法：uploadPath 未归一化、未做根目录约束
$targetDir = __DIR__ . '/../uploads/' . $_POST['uploadPath'];
$targetFile = $targetDir . '/' . basename($_FILES['file']['name']);
move_uploaded_file($_FILES['file']['tmp_name'], $targetFile);
echo 'uploaded: ' . $targetFile;

三、攻击链复现与影响评估

完整利用链可归纳为四步：构造未认证请求 → 伪造权限参数通过校验 → 注入穿越路径确定写入点 → 访问写入的脚本触发执行。由于无需任何账号，攻击门槛极低，且一旦成功即为服务器完全失陷，可进一步横向移动、窃取数据库与配置。

• 未认证即可利用，无需登录态或 CSRF Token；
• 可写入任意目录，覆盖配置文件或植入持久化后门；
• 写入可执行脚本后直接获得 Web 权限，进而提权。

四、检测、应急排查与修复加固

4.1 快速自查

排查服务器上是否存在异常上传文件、upload.php 访问日志中的可疑 uploadPath 参数，以及上传目录内非预期扩展名文件。

# 查找上传目录中的可疑脚本文件
find /var/www -path '*uploads*' -type f ( -name '*.php' -o -name '*.phtml' -o -name '*.phar' ) -ls

# 检索访问日志中的路径穿越特征
grep -Ei 'uploadPath=.*(../|%2e%2e)' /var/log/nginx/access.log

4.2 升级到 2.5 版本

官方已在 2.5 版本修复该问题。升级前请备份站点与数据库，升级后复核上传目录权限与 Web 服务器解析配置。

# 备份
cp -a /var/www/widzialni /var/www/widzialni.bak.$(date +%F)
mysqldump -u root -p widzialni > /root/widzialni_$(date +%F).sql

# 升级到 2.5（按官方发布包替换）
# 校验版本
php -r "echo file_get_contents('/var/www/widzialni/version.txt');"

# 上传目录禁止脚本执行（Nginx 示例）
# location ~* /uploads/.*.(php|phtml|phar)$ { deny all; }

4.3 纵深防御配置

服务端应强制使用会话鉴权、对 uploadPath 做 realpath 归一化并校验根目录前缀、对扩展名与 MIME 做双白名单，同时将上传目录置于 Web 根之外或禁止脚本解析。WidzialniCMS 文件上传漏洞的教训在于：任何授权判断都不能来自客户端。