CVE-2026-4999 z-9527 admin 路径遍历漏洞，影响版本

在 z-9527 admin 中检测到路径遍历漏洞，影响版本高达 72aaf2dd05cf4ec2e98f390668b41e128eec5ad2。文件 /server/utils/upload.js 中的 uploadFile 函数，特别是 isImg Check 组件，对 fileType 参数的操作存在漏洞。攻击者可以利用此漏洞访问预期目录之外的文件，从而可能损害系统的机密性、完整性和可用性。路径遍历的性质允许攻击者读取、修改甚至执行服务器上的任意文件，具体取决于配置的权限。漏洞利用的公开披露大大增加了风险，因为攻击者可以快速实施攻击。滚动发布架构使得难以准确识别受影响的版本，需要持续评估。

Organizations deploying z-9527 admin, particularly those with publicly accessible instances, are at risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as a compromise of one user's account could potentially lead to the exposure of data belonging to other users. Legacy configurations with weak file permissions exacerbate the risk.

• nodejs / server:

grep -r 'fileType\.\.\\\' /path/to/z-9527/admin/

• generic web:

curl -I 'http://your-z-9527-admin-url/server/utils/upload.js?fileType=../../../../etc/passwd' | grep 'HTTP/1.1 403' # Check for access denied

1. 2026-03-28Disclosure

   disclosure

1. 已保留2026-03-27
2. 发布日期2026-03-28
3. 修改日期2026-03-30
4. EPSS 更新日期2026-04-04

由于 z-9527 admin 采用滚动发布模型，因此不提供特定的修复程序或即时补丁。主要缓解措施侧重于在服务器上实施强大的安全控制。强烈建议严格验证用户输入，特别是与文件操作相关的参数。实施允许的文件类型的白名单，而不是黑名单，是一种基本实践。此外，应通过基于角色的访问控制和最小权限原则来限制对服务器资源的访问。持续监控系统是否存在可疑活动对于检测和响应潜在攻击至关重要。建议审查服务器配置并应用安全最佳实践以最大限度地减少攻击面。