关键信息总结 漏洞概述 漏洞类型: 远程代码执行 (RCE) 通过任意文件上传 CVE ID: CVE-2026-24897 漏洞等级: Critical (CVSS v3 base metrics: 10.0) 受影响版本: <= 0.2.14 修复版本: 无 (None) 漏洞详情 问题核心: - Erugo 允许低权限已认证用户上传任意文件到指定位置，由于对用户提供的路径验证不足。 - 攻击者可指定公共Web根目录内的可写路径，上传并执行恶意代码，触 发 RCE。 漏洞成因: - 应用未充分验证和限制用户提供的共享位置，导致可指定任意文件系统路径。 - 缺乏严格的文件路径规范化、目录白名单或上传存储与公共目录的分离。 PoC (概念验证) 攻击者需先登录低权限用户账户，上传 PHP 文件并通过文件上传功能绕过验证。 上传后，修改请求中的 参数，将文件路径指向 。 有效Payload: 演示结果: - shell.php 文件被成功写入公共目录。 - 攻击者可以通过访问 执行命令。 潜在影响 攻击面: 正常用户文件上传和共享功能被利用来升级权限执行代码。 低权限用户可完全控制 Erugo 实例，获取服务器高权限访问。 敏感信息泄露、数据篡改和可用性破坏风险极大。 缓解措施 建议: 禁止低权限用户指定任意目录上传，对路径严格检查和限制。 应急: 更新至官方补丁版本（目前未公布），暂时禁用文件上传功能。