KindEditor 网站编辑器组件上传漏洞利用预警

阅读量413181

发布时间 : 2019-02-21 18:40:46

 

0x00 漏洞背景

2019 年 02 月 21 日,360CERT监测业内安全公司发布了多个政府网站被上传了非正常 HTML 页面。攻击者通过这些网站的 KindEditor 编辑器组件的漏洞进行攻击利用,KindEditor 组件中的upload_json.php 上传功能文件允许被直接调用从而实现任意上传 htm,html,txt 等文件到服务器。

 

0x01 漏洞详情

该漏洞于 2017 年 7 月 14 日被提出,该漏洞可以利用 KindEditor 项目目录下 php/upload_json.php 直接进行(html, htm, txt)文件上传,而没有任何验证措施。

 

0x02 修复建议

及时删除 php/* 目录下的示例代码,框架作者也提及此处的代码只是用于测试,不要直接用于生产环境。

 

0x03 漏洞验证

 

0x04 时间线

2019-02-21 安恒信息发布预警

2019-02-21 360CERT发布预警

 

0x05 参考链接

  1. Remote file upload vulnerability in ver <= 4.1.12 · Issue #249 · kindsoft/kindeditor
  2. 紧急漏洞预警丨KindEditor上传漏洞致近百个党政机关网站遭植入

本文由360CERT安全通告原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/171422

安全客 - 有思想的安全新媒体

分享到:微信
+15赞
收藏
360CERT安全通告
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66