phpTransformer 2016.9 jQueryFileUpload 的目录遍历漏洞

攻击者可以利用此漏洞访问 phpTransformer 服务器文件系统中的任意文件。通过精心构造的请求，攻击者可以利用 ../../../ 这样的路径遍历序列，绕过访问控制，读取配置文件、源代码或其他敏感数据。这种攻击可能导致信息泄露、代码执行（如果读取了包含可执行代码的文件）或进一步的系统入侵。由于该漏洞无需身份验证，攻击者可以轻易地利用它。

Web applications utilizing phpTransformer versions 2016.9 through 2016.9 are at risk. This includes applications that rely on phpTransformer for image processing or other file manipulation tasks. Shared hosting environments where multiple users share the same server are particularly vulnerable, as a compromise of one application could potentially expose files belonging to other users.

• php: Examine access logs for requests containing traversal sequences like '../' in the path parameter.

grep '../' /var/log/apache2/access.log

• php: Check for unusual file access patterns in server logs.

journalctl -u apache2 | grep -i "file not found"

• generic web: Use curl to test the jQueryFileUploadmaster endpoint with various traversal sequences.

curl 'http://your-server/jqueryFileUploadmaster?path=../../../../../../etc/passwd'

1. 2026-03-21Disclosure

   disclosure

1. 已保留2026-03-21
2. 发布日期2026-03-21
3. 修改日期2026-03-24
4. EPSS 更新日期2026-03-29

由于 phpTransformer 2016.9 版本存在漏洞，建议尽快升级到安全版本。如果无法立即升级，可以考虑以下缓解措施：限制对 jQueryFileUploadmaster 服务器端点的访问，使用 Web 应用防火墙 (WAF) 过滤包含 ../ 的请求，并确保文件上传目录的权限设置正确，防止攻击者访问敏感文件。此外，监控服务器日志，查找可疑的路径遍历尝试。