DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件，它的使用率还是相当高的。经笔者测试，即便是现在可以下载使用的1.9.143版本中，依然存在着这个漏洞。

虽然这个漏洞距今已经快两年了，但DjangoUeditor于2015年1月17号后，再也没有更新过，见github上作者的说明：

DjangoUeditor是什么

Django是Python世界最有影响力的web框架。DjangoUeditor是一款可以在Django应用中集成百度Ueditor HTML编辑器的插件（Ueditor HTML编辑器是百度开源的在线HTML编辑器）。DjangoUeditor插件上存在一个漏洞，可以导致任意文件上传。

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件，它的使用率还是相当高的；

DjangoUEditor 1.9.143任意文件上传漏洞的修补方法

问题就出在前端对于用户上传的文件类型没有过滤，如果攻击者构造的imagePathFormat参数中的值不是一个单纯的路径，而是一个包含文件名的参数，问题就出现了。经验证，写入的路径也是可以控制的，不仅限于images路径，并且可以覆盖其他的文件。

可以通过修改代码，对用户上传的OutputFile类型进行过滤，只允许符合要求的类型进行上传。

原文发布时间：2017年3月27日

本文由：绿盟科技博客发布，版权归属于原作者

原文链接:http://toutiao.secjia.com/djangoueditor-1-9-143-file-upload-vulnerability

本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站