CVE-2025-13815 - moxi159753 Mogu Blog v2 图片无限制上传漏洞
概述
漏洞描述
在 moxi159753 Mogu Blog v2 最高至 5.2 版本中发现了一个安全弱点。受影响的组件是 /file/pictures 文件中的一个未知功能。对参数 filedatas 的操控会导致无限制的文件上传。攻击可以远程发起。漏洞利用代码已公开，可能被利用。供应商很早就收到了此漏洞披露的通知，但未做出任何回应。
基本信息
- 发布日期：2025年12月1日 上午9:16
- 最后修改日期：2025年12月1日 上午9:16
- 可否远程利用：是！
- 来源：cna@vuldb.com
受影响产品
尚未记录受影响的特定产品。
- 受影响供应商总数：0
- 产品总数：0
CVSS 评分
通用漏洞评分系统（CVSS）是评估软件和系统中漏洞严重性的标准化框架。我们收集并显示每个CVE来自不同来源的CVSS分数。
| 分数 | 版本 | 严重等级 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 6.5 | CVSS 2.0 | 中 | (AV:N/AC:L/Au:S/C:P/I:P/A:P) | 8.0 | 6.4 | cna@vuldb.com |
| 6.3 | CVSS 3.1 | 中 | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L | 2.8 | 3.4 | cna@vuldb.com |
| 5.3 | CVSS 4.0 | 中 | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | - | - | cna@vuldb.com |
解决方案
通过应用供应商补丁或实施安全控制来解决无限制文件上传漏洞。
- 当有可用时，应用供应商补丁。
- 审查并限制文件上传功能。
- 验证所有上传的文件类型和内容。
- 对上传的文件实施严格的访问控制。
参考链接（公告、解决方案和工具）
以下是与 CVE-2025-13815 相关的深度信息、实用解决方案和有价值工具的外部链接。
CWE - 通用缺陷枚举
CVE标识漏洞的具体实例，而CWE则对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-13815与以下CWE相关联：
- CWE-284：不恰当的访问控制
- CWE-434：无限制上传危险类型的文件
常见攻击模式枚举与分类 (CAPEC)
CAPEC存储攻击模式，这些模式描述了攻击者利用CVE-2025-13815弱点所采用的常见属性和方法。
- CAPEC-19: 在脚本中嵌入脚本
- CAPEC-441: 恶意逻辑插入
- CAPEC-478: 修改Windows服务配置
- CAPEC-479: 恶意根证书
- CAPEC-502: 意图欺骗
- CAPEC-503: WebView暴露
- CAPEC-536: 配置期间注入数据
- CAPEC-546: 多租户环境中不完整的数据删除
- CAPEC-550: 安装新服务
- CAPEC-551: 修改现有服务
- CAPEC-552: 安装Rootkit
- CAPEC-556: 替换文件扩展名处理程序
- CAPEC-558: 替换可信可执行文件
- CAPEC-562: 修改共享文件
- CAPEC-563: 向共享Web根目录添加恶意文件
- CAPEC-564: 登录时运行软件
- CAPEC-578: 禁用安全软件
- CAPEC-1: 访问ACL未正确约束的功能
漏洞时间线
漏洞历史记录详细信息有助于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 新增 | 描述 | 在 moxi159753 Mogu Blog v2 最高至 5.2 版本中发现了一个弱点。受影响的组件是 /file/pictures 文件中的一个未知功能。对参数 filedatas 的操控会导致无限制的文件上传。攻击可以远程发起。漏洞利用代码已公开，可能被利用。供应商很早就收到了此漏洞披露的通知，但未做出任何回应。 |
|
| 新增 | CVSS V4.0 | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | |
| 新增 | CVSS V3.1 | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L | |
| 新增 | CVSS V2 | (AV:N/AC:L/Au:S/C:P/I:P/A:P) | |
| 新增 | CWE | CWE-284 | |
| 新增 | CWE | CWE-434 | |
| 新增 | 参考 | https://github.com/Xzzz111/exps/blob/main/archives/mogu_blog_v2-unrestricted_upload-1/report.md | |
| 新增 | 参考 | https://github.com/Xzzz111/exps/blob/main/archives/mogu_blog_v2-unrestricted_upload-1/report.md#proof-of-concept | |
| 新增 | 参考 | https://vuldb.com/?ctiid.333824 | |
| 新增 | 参考 | https://vuldb.com/?id.333824 | |
| 新增 | 参考 | https://vuldb.com/?submit.692106 |