ApostropheCMS 是一个开源内容管理框架。在 `@apostrophecms/import-export` 的 3.5.3 版本之前，`gzip.js` 中的 `extract()` 函数使用 `fs.createWriteStream(path.join(exportPath, header.name))` 构建文件写入路径。`path.join()` 不会解析或清理诸如 `../` 之类的遍历片段。它将它们原样连接起来，这意味着名为 `../../evil.js` 的 tar 条目解析为目标提取目录之外的路径。在打开写入流之前，未执行规范路径检查。

攻击者可以利用此 Zip Slip 漏洞，通过上传包含恶意文件路径（例如 ../../evil.js）的压缩文件，在服务器文件系统中的任意位置写入文件。这可能导致攻击者覆盖关键系统文件，执行恶意代码，或者窃取敏感数据。由于 ApostropheCMS 通常用于构建内容管理系统，因此该漏洞可能导致网站被完全控制，数据泄露，甚至服务中断。该漏洞的潜在影响类似于其他 Zip Slip 漏洞，例如在某些归档工具中发现的漏洞，攻击者可以利用这些漏洞在文件系统中的任意位置写入文件。

ApostropheCMS installations using @apostrophecms/import-export versions prior to 3.5.3 are at risk. This includes developers and system administrators who manage ApostropheCMS deployments, particularly those who allow users to upload files via the import-export functionality. Shared hosting environments running ApostropheCMS are also at increased risk, as a compromised user account could potentially exploit this vulnerability to gain access to the entire server.

• nodejs / server:

find /path/to/node_modules/@apostrophecms/import-export/gzip.js -exec grep -i 'path.join(exportPath, header.name)' {}

• linux / server:

journalctl -f -u node | grep -i "extract()"

• generic web:

curl -I http://your-apostrophe-site.com/import-export/upload.php?file=../../evil.txt

1. 2026-03-18Disclosure

   disclosure

2. 2026-03-18Patch

   patch

1. 已保留2026-03-13
2. 发布日期2026-03-18
3. 修改日期2026-03-24
4. EPSS 更新日期2026-03-26

最有效的缓解措施是立即将 @apostrophecms/import-export 模块升级至 3.5.3 或更高版本。如果升级会导致系统中断，可以考虑回滚到之前的稳定版本，并实施额外的安全措施。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以阻止上传包含可疑文件路径的压缩文件。还可以实施输入验证，以确保导入的文件路径是安全的。在升级后，请验证文件系统完整性，以确保没有恶意文件被写入。