因为例子很少，开始想了下不是他们的漏洞，后面想了下，后面没有检查好用户的正常配置内容导致，还是提下吧。 

下载地址： 

貌似是最新版本的。 

测试语言：PHP 
测试漏洞文件：/kindeditor/php/file_manager_json.php 
默认配置(第16行)： 


$root_path = $php_path . '../attached/'; 

当/attached/文件夹不存在(被删)或者被改名为一个不存在的目录时，如网上的一个例子： 

$root_path = $php_path . '../../../upload/'; 

这个CMS下面的目录根本就没得这个目录，所以就造成了漏洞。 

怎么造成了漏洞的呢？我们分析下。

PHP Code复制内容到剪贴板

1. <?php   

2. /**  

3.  * KindEditor PHP  

4.  *  

5.  * 本PHP程序是演示程序，建议不要直接在实际项目中使用。  

6.  * 如果您确定直接使用本程序，使用之前请仔细确认相关安全设置。  

7.  *  

8.  */  

9.   

10. require_once 'JSON.php';   

11.   

12. $php_path = dirname(__FILE__) . '/';   

13. $php_url = dirname($_SERVER['PHP_SELF']) . '/';   

14.   

15. //根目录路径，可以指定绝对路径，比如 /var/www/attached/   

16. $root_path = $php_path . '../../../upload/';   

17. //根目录URL，可以指定绝对路径，比如 http://www.yoursite.com/attached/   

18. $root_url = $php_url . '../../../upload/';   

19. //图片扩展名   

20. $ext_arr = array('gif', 'jpg', 'jpeg', 'png', 'bmp');   

21.   

22. //目录名   

23. $dir_name = emptyempty($_GET['dir']) ? '' : trim($_GET['dir']);   

24. if (!in_array($dir_name, array('', 'image', 'flash', 'media', 'file'))) {   

25. echo "Invalid Directory name.";   

26. exit;   

27. }   

28. if ($dir_name !== '') {   

29. $root_path .= $dir_name . "/";   

30. $root_url .= $dir_name . "/";   

31. if (!file_exists($root_path)) {   

32. mkdir($root_path);   

33. }   

34. }   

35.   

36. //根据path参数，设置各路径和URL   

37. if (emptyempty($_GET['path'])) {   

38. $current_path = realpath($root_path) . '/';   

39. $current_url = $root_url;   

40. $current_dir_path = '';   

41. $moveup_dir_path = '';   

42. } else {   

43. $current_path = realpath($root_path) . '/' . $_GET['path'];   

44. $current_url = $root_url . $_GET['path'];   

45. $current_dir_path = $_GET['path'];   

46. $moveup_dir_path = preg_replace('/(.*?)[^\/]+\/$/', '$1', $current_dir_path);   

47. }   

48. //echo realpath($root_path);