AstrBot目录遍历漏洞分析
漏洞概述
AstrBot项目v3.5.22版本存在目录遍历漏洞。该漏洞位于接口/plugin/install-upload的处理函数install_plugin_upload中。
技术细节
漏洞成因
该接口的处理函数从用户请求体中解析文件名，并在未验证文件名有效性的情况下，直接将文件名赋值给file_path变量。随后，file_path变量作为参数传递给file.save函数，使得攻击者可以通过目录遍历技术将请求体中的文件保存到文件系统的任意位置。
影响范围
- 受影响版本：<= 3.5.22
- 已修复版本：无
- 严重程度：高危（CVSS评分8.7）
漏洞特征
- 攻击向量：网络
- 攻击复杂度：低
- 所需权限：无
- 用户交互：无
- 完整性影响：高
参考链接
安全建议
建议使用AstrBot的用户密切关注官方更新，及时升级到修复版本，同时加强对文件上传功能的输入验证和路径限制。