平台
php
组件
tinyfilemanager
修复版本
2.0.1
2.1.1
2.2.1
2.3.1
2.4.1
2.5.1
2.6.1
CVE-2026-6496 是一个存在于 TinyFileManager 2.0.0 到 2.6 之间的路径遍历漏洞。攻击者可以通过操纵 POST 参数 Handler 组件中的 file[] 参数，访问文件系统中的敏感文件。该漏洞的利用可能导致未经授权的数据泄露，并且该漏洞已公开。目前供应商未响应安全报告。
CVE-2026-6496 影响 TinyFileManager 的 2.6 之前的版本，在 POST 参数处理器中公开了一个路径遍历漏洞，特别是 /filemanager.php 文件中。远程攻击者可以操纵 'file[]' 参数以访问预期目录之外的文件，从而可能损害系统的机密性和完整性。根据 CVSS，此漏洞的严重程度评分为 5.4。供应商对早期披露通知的回应不足加剧了情况，使用户没有官方修复程序。由于利用详情已被公开，因此此漏洞尤其令人担忧，这使得恶意行为者更容易利用它。强烈建议 TinyFileManager 用户升级到已修补的版本或实施替代缓解措施，直到发布解决方案为止。
此漏洞在于 TinyFileManager 处理 POST 参数的方式，特别是用于文件上传的 'file[]' 参数。攻击者可以构造一个恶意的请求，其中包含一个操纵的文件路径，例如 '../uploads/sensitive_file.txt'，以访问预期上传目录之外的文件。公开利用详情使复制此攻击变得容易。此漏洞的远程性质意味着攻击者无需访问系统即可利用它。不充分的用户输入验证允许攻击者绕过安全保护并访问敏感资源。利用的便利性、远程性质以及供应商的不作为相结合，为 TinyFileManager 用户带来了重大风险。
漏洞利用状态
EPSS
0.02% (7% 百分位)
CISA SSVC
鉴于供应商缺乏修复程序，缓解措施侧重于限制访问和暴露。强烈建议将对 TinyFileManager 的访问限制为授权用户，并通过安全网络进行访问。严格验证用户输入，特别是 'file[]' 参数，对于防止路径遍历至关重要。考虑使用 Web 应用程序防火墙 (WAF) 来过滤恶意流量并阻止利用尝试。监控与 TinyFileManager 相关的系统日志以查找可疑活动可以帮助检测和响应潜在攻击。作为一项临时措施，如果 TinyFileManager 并非绝对必要，则应考虑禁用它，直到找到更永久的解决方案。供应商的回应不足强调了积极安全和风险管理的必要性。
Actualice a una versión corregida de TinyFileManager. La vulnerabilidad es un path traversal que permite a un atacante remoto acceder a archivos arbitrarios en el servidor. Verifique la página del proyecto para obtener información sobre las versiones corregidas.
漏洞分析和关键警报直接发送到您的邮箱。
这是一种攻击技术，允许攻击者访问预期目录之外的文件和目录，使用诸如 '../' 之类的序列在目录层次结构中向上导航。
这表明没有官方的修复程序可用，迫使用户实施替代缓解措施并自行管理风险。
实施推荐的缓解措施，例如限制访问、验证用户输入和使用 WAF。如果不是必需的，请考虑禁用 TinyFileManager。
监控系统日志以查找可疑活动，例如对未经授权的文件进行访问尝试或对系统文件的意外更改。
Web 应用程序防火墙 (WAF) 和漏洞扫描工具可以帮助检测和阻止利用尝试。
CVSS 向量