CVE-2026-38526 漏洞总结 漏洞概述 漏洞编号：CVE-2026-38526 漏洞类型：不受限制的文件上传导致远程代码执行 (Unrestricted File Upload leading to Remote Code Execution, CWE-434) 受影响产品：Krayin CRM (版本 2.2.x) 漏洞成因：Krayin CRM 的 TinyMCE 媒体上传接口 ( ) 未对上传的 PHP 文件进行验证，允许经过身份验证的攻击者上传恶意 PHP 脚本并实现远程代码执行 (RCE)。 CVSS 评分：9.9 (Critical) 影响范围 机密性 (Confidentiality)：高 — 攻击者可读取服务器上所有文件。 完整性 (Integrity)：高 — 攻击者可写入、修改或删除 Web 服务器进程可访问的任何文件。 可用性 (Availability)：高 — 服务器进程可能被终止或作为人质。 影响范围 (Scope)：变更 — 成功利用的影响超出了 Web 应用程序，延伸至底层主机。 最坏情况：完全服务器沦陷、内网横向移动、CRM 数据库中的客户记录数据泄露。 修复方案 1. 文件类型白名单：验证上传的文件是否符合安全 MIME 类型和扩展名（如 .jpg, .png, .gif, .webp）的白名单。拒绝所有服务器可执行类型。 2. 存储于 Web 根目录之外：将上传的文件保存到 Web 根目录之外（例如 ），并通过控制器提供文件服务，设置正确的 头。 3. 重命名文件：将上传的文件重命名为带有安全扩展名的随机 UUID，绝不保留原始文件名或扩展名。 4. 禁用 PHP 执行：如果上传文件必须保留在 Web 可访问目录中，配置 Web 服务器（如 Nginx 的 或 块）禁用该目录下的 PHP 执行（例如设置 ）。 5. 身份验证审查：审计哪些用户角色有权访问 TinyMCE 上传端点，考虑将其限制为仅限管理员。 技术分析与利用链 攻击链： 1. 使用任何有效用户账户登录 Krayin CRM。 2. 向 发送包含任意 PHP 代码的 文件。 3. 记录 JSON 响应中返回的文件路径。 4. 通过 GET 请求访问上传的文件路径，PHP 解释器将执行载荷。 PoC 参考：页面中提及 文件包含复现步骤和请求详情，但截图未直接展示代码块内容。