EyouCMS 1.7.1文件上传漏洞

(CVE-2026-6561)

一、漏洞信息

1.漏洞类型：任意文件上传（导致敏感信息泄露及潜在远程代码执行）、身份认证绕过、不恰当的访问控制。注：虽然 CVE 编号为 CVE-2026-6561，但根据情报内容，该漏洞核心在于 edit_adminlogo 函数中的文件名参数校验缺失，允许攻击者上传恶意文件或复制敏感文件。

2.影响产品及版本：EyouCMS 内容管理系统，受影响的版本为 1.7.1 及以下版本。受影响路径：application/admin/controller/Index.php 文件中的 edit_adminlogo() 函数。

3.攻击场景：攻击者可能利用高权限（如已获取后台管理员权限）的身份，通过构造恶意的 HTTP 请求，向 edit_adminlogo 接口发送包含特殊字符或扩展名的 filename 参数。由于缺乏对文件名的严格过滤，攻击者可实现无限制的文件上传，或者将服务器上的敏感配置文件复制到可公开访问的目录，从而窃取系统配置、数据库凭证等敏感信息。

4.在野利用情况：目前开源情报显示该漏洞的利用方法（POC/EXP）已在 GitHub 等社区公开披露。虽然尚未观察到大规模自动化僵尸网络利用此漏洞的迹象，但由于利用代码已公开且厂商未及时响应，存在被定向攻击团伙利用进行内网渗透或数据窃取的较高风险。

5.威胁团伙：目前情报未明确关联到特定的高级持续性威胁（APT）组织，但此类 CMS 漏洞常被自动化扫描工具、脚本小子以及中小规模的勒索软件攻击团伙利用，用于获取初始访问权限。

二、安全活动事件分析

事件一：2026 年 4 月 19 日，研究人员在 GitHub 上发布了关于 EyouCMS 1.7.1 及以下版本中 edit_adminlogo 函数存在任意文件上传漏洞的详细分析报告，并公开了验证概念（POC），指出该漏洞可导致敏感信息泄露。

事件二：2026 年 4 月 19 日，多家漏洞情报平台（如 VulDB）收录并确认了该漏洞信息（QVD-2026-21129），评级为中危，同时指出厂商早期已收到披露但未采取任何修复措施，导致漏洞长期处于暴露状态。

三、技术分析

    分析：基于当前情报，该漏洞的核心在于后端代码逻辑缺陷。edit_adminlogo 函数在处理用户上传的管理员 Logo 图片时，仅依赖前端或简单的后端逻辑，未对 filename 参数进行严格的白名单校验（如文件后缀名、MIME 类型、文件名格式等）。攻击者若具备管理员权限（CVSS v3 评分显示需要“高”权限），可利用此漏洞上传 Webshell 以实现远程代码执行（RCE），或利用文件复制功能读取 config.php、.env 等包含数据库账号密码的敏感文件。鉴于厂商未及时发布补丁，建议立即对该类系统进行人工审计或临时隔离。

四、建议措施：

紧急升级：立即联系 EyouCMS 官方或前往其官方渠道，检查是否有更新的修复版本。情报提示“官方已有可更新版本”，请优先将系统升级至最新的安全版本。

代码级修复：若无法立即升级，需手动修改 application/admin/controller/Index.php 文件中的 edit_adminlogo 函数。严格校验文件名：强制要求文件名为纯字母数字组合，禁止包含路径分隔符（/, \, ..）或特殊字符。白名单机制：仅允许 .jpg, .png, .gif 等特定图片格式，并通过 finfo_file 或图像库函数验证文件头（Magic Number），防止伪装成可执行文件。随机重命名：上传后不要保留原始文件名，使用 UUID 或哈希值重命名文件存储。

访问控制强化：实施最小权限原则，确保后台管理模块仅对必要的 IP 地址开放，并启用双因素认证（2FA），降低管理员凭证被盗用的风险。

WAF 规则部署：在 Web 应用防火墙（WAF）中配置针对 EyouCMS 的防护规则，拦截包含异常 filename 参数的 edit_adminlogo 请求。

五、结论概述

综合分析开源情报和漏洞特点，我们得出结论：EyouCMS 1.7.1 及以下版本存在严重的任意文件上传及访问控制缺陷。尽管该漏洞的 CVSS v3 基础评分为 4.7（中危），但其依赖于高权限的前提条件掩盖了其潜在的破坏力——一旦攻击者获取了管理员权限，即可利用此漏洞进一步提权、植入后门或窃取核心业务数据。由于厂商响应滞后且利用代码已公开，该系统面临较高的被利用风险，建议运维团队立即采取升级或代码修补措施以消除安全隐患。