概述
CVE-2025-64176 - ThinkDashboard：备份导入功能中的任意文件上传漏洞
漏洞描述
ThinkDashboard是一个使用Go和原生JavaScript构建的自托管书签仪表板。在0.6.7及以下版本中，攻击者可以通过备份导入功能将任意文件上传到Web应用程序的/data目录。
在导入备份时，攻击者可以先选择.zip文件来绕过客户端文件类型验证。这可能导致存储型XSS攻击，或用于其他恶意目的，如恶意软件分发。该问题在0.6.8版本中已修复。
漏洞详情
- 发布日期：2025年11月6日 22:15
- 最后修改：2025年11月6日 22:15
- 远程利用：是
- 来源：security-advisories@github.com
CVSS评分
| 分数 | 版本 | 严重程度 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 5.3 | CVSS 3.1 | 中等 | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N | 3.9 | 1.4 | security-advisories@github.com |
| 5.3 | CVSS 3.1 | 中等 | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N | 3.9 | 1.4 | MITRE-CVE |
解决方案
- 将ThinkDashboard更新到0.6.8或更高版本
- 应用供应商提供的补丁
公共PoC/漏洞利用
CVE-2025-64176在GitHub上有1个公共PoC/漏洞利用可用。
相关链接
- https://github.com/MatiasDesuu/ThinkDashboard/commit/18d2f6aded0d6424cc4c8619731dd20563f4cfd8
- https://github.com/MatiasDesuu/ThinkDashboard/security/advisories/GHSA-jvmw-hg62-jr47
CWE关联
- CWE-20：不当的输入验证
- CWE-79：在网页生成过程中对输入的不当中和（跨站脚本）
- CWE-434：无限制上传危险类型文件
漏洞时间线
2025年11月6日 - 收到来自security-advisories@github.com的新CVE
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | ThinkDashboard是…（完整描述） | |
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N | |
| 添加 | CWE | CWE-79 | |
| 添加 | CWE | CWE-20 | |
| 添加 | CWE | CWE-434 | |
| 添加 | 参考链接 | GitHub提交链接 | |
| 添加 | 参考链接 | GitHub安全公告链接 |