DjangoUEditor 1.9.143任意文件上传漏洞依然存在 黑客可以上传木马 但作者已经停止更新了

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件，它的使用率还是相当高的。经笔者测试，即便是现在可以下载使用的1.9.143版本中，依然存在着这个漏洞。

虽然这个漏洞距今已经快两年了，但DjangoUeditor于2015年1月17号后，再也没有更新过，见github上作者的说明：

DjangoUeditor是什么

Django是Python世界最有影响力的web框架。DjangoUeditor是一款可以在Django应用中集成百度Ueditor HTML编辑器的插件（Ueditor HTML编辑器是百度开源的在线HTML编辑器）。DjangoUeditor插件上存在一个漏洞，可以导致任意文件上传。

DjangoUeditor是将百度开发的富文本编辑器Ueditor移植到Django中的组件，它的使用率还是相当高的；

DjangoUEditor 1.9.143任意文件上传漏洞的修补方法

问题就出在前端对于用户上传的文件类型没有过滤，如果攻击者构造的imagePathFormat参数中的值不是一个单纯的路径，而是一个包含文件名的参数，问题就出现了。经验证，写入的路径也是可以控制的，不仅限于images路径，并且可以覆盖其他的文件。

可以通过修改代码，对用户上传的OutputFile类型进行过滤，只允许符合要求的类型进行上传。