契约锁电子签章系统 createbyfile 远程代码执行漏洞
摘要
契约锁电子签章系统在 /api/document/createbyfile 接口存在文件上传导致的远程代码执行漏洞，远程攻击者可在未认证的情况下，通过上传恶意构造的文件，最终实现任意代码执行，完全控制服务器。该漏洞利用难度低，危害评级为高危（CVSS 3.1评分9.8），建议受影响的用户及时采取修复措施。
正文
Impact: 远程代码执行漏洞可能导致的危害包括但不限于： 1. 完全控制服务器：攻击者可以执行系统命令，获取服务器的完全控制权。 2. 数据泄露：攻击者可以访问、修改或删除服务器上的敏感数据。 3. 网站篡改：攻击者可以修改网站内容，进行钓鱼攻击或其他形式的欺诈。 4. 持久性后门：攻击者可以在服务器上安装后门，以便未来随时访问。 5. 服务中断：攻击者可以通过破坏服务器正常运行来导致服务中断。 Mitigation: 临时缓解措施 在确保业务不受影响的前提下，避免将该系统直接暴露在互联网；通过防火墙或WAF对 /api/document/createbyfile 接口实施访问限制。
标签
- severity:high
- source:chaitin
- type:vuln
扩展字段
{
"cnnvd_id": null,
"cnvd_id": null,
"cve_id": null,
"cvss3": {
"A": "H",
"AC": "L",
"AR": "X",
"AV": "N",
"C": "H",
"CR": "X",
"I": "H",
"IR": "X",
"MA": "X",
"MAC": "X",
"MAV": "X",
"MC": "X",
"MI": "X",
"MPR": "X",
"MS": "X",
"MUI": "X",
"PR": "N",
"S": "U",
"UI": "N"
},
"raw_updated_at": "2026-07-23T18:32:45.941406+08:00",
"references": [],
"severity": "high",
"vuln_id": "853de58d-b148-4c74-9ea8-37a169c32f1e"
}