漏洞类型	任意文件上传	发现时间	2024-04-17	漏洞等级	严重
MPS编号	MPS-wzyc-o678	CVE编号	–	漏洞影响广度	小

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

kkFileView是使用spring boot搭建的文件文档在线预览解决方案，支持主流办公文档的在线预览。
kkFileView 4.2.0 到4.4.0-beta版本中文件上传功能存在zip路径穿越问题，导致攻击者可以通过上传恶意构造的zip包，覆盖任意文件。
kkFileView预览功能中会调用Libreoffice将odt文件转换为pdf，过程中会调用uno.py，攻击者可通过覆盖uno.py文件可执行任意python代码。
参考链接：https://www.oscs1024.com/hd/MPS-wzyc-o678

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
kkFileView [4.2.0, 4.4.0-beta]	缓解措施	开启file.upload.disable=true参数，禁用首页的上传文件，关闭演示入口
参考链接：https://www.oscs1024.com/hd/MPS-wzyc-o678

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html

方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html

方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html

更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-wzyc-o678

https://github.com/kekingcn/kkFileView/commit/421a2760d58ccaba4426b5e104938ca06cc49778

kkFileView 4.2.0-4.4.0 任意文件上传导致远程执行漏洞 (MPS-wzyc-o678)

漏洞危害

影响范围及处置方案

OSCS 平台影响范围和处置方案

排查方式

相关推荐

PowerJob<=4.3.3 远程代码执行漏洞 （CVE-2023-37754）[有POC]

NPM组件 @capacitor-bmo/biometric 等窃取主机敏感信息

Vue.js Devtools 信息泄漏漏洞 (CVE-2023-5718)

泛微 e-cology <10.58.3 任意文件上传漏洞

IP-guard WebServer < 4.82.0609.0任意文件读取漏洞【PoC公开】 (MPS-5ag1-ycm0)

PowerJob<=4.3.3 远程代码执行漏洞（CVE-2023-37754）[有POC]