潜在的目录遍历：/uploads/* 允许跨目录文件访问

支持
1

问题描述

在对我们定制的 Discourse 部署进行安全评估期间，我们发现了一个与 /uploads/* 端点相关的潜在目录遍历漏洞。

问题详情

  • 通过访问 /uploads/，用户可以通过操纵 URL 路径从任意上传目录中获取文件。

  • 例如，可以遍历并访问不同上传目录中的文件，而这些目录本应在逻辑上分开或受到保护。

  • 这种行为可能允许未经授权的用户访问不属于他们的敏感文件或附件，这构成了安全风险。

示例

假设用户 A 在其私信（或其他受限上下文）中上传了一个文件。

攻击者可以构造一个类似以下的 URL：

https://<你的论坛域名>/uploads/default/original/1X/../../another_directory/secret_file.jpg

这允许攻击者遍历目录树并访问其他目录中的文件。

安全影响

  • 未经授权披露私有、内部或受限制的文件。

  • 可能根据文件内容进行权限升级。

寻求的问题/反馈

  • 这是当前上传实现中的预期行为吗？

  • 是否有推荐的配置或补丁来防止 /uploads/ 中的目录遍历？

  • 上游 Discourse 是否已讨论或缓解了此问题？

  • 您是否有关于进一步保护 Discourse 部署中文件访问的指导？

感谢您对这个潜在问题的关注和反馈。

2

您可能对 secure-uploads 功能感兴趣。

3 个赞