赛博昆仑CERT监测到契约锁存在任意文件写入漏洞，攻击者可利用该漏洞写入任意文件，导致远程代码执行并完全控制服务器。该漏洞影响契约锁4.3.8-5.x.x版本（补丁版本<2.1.8）以及4.0.x-4.3.7版本（补丁版本<1.3.8）。赛博昆仑CERT已成功复现该漏洞。建议用户及时更新契约锁安全补丁以缓解风险。契约锁官方已发布安全补丁，下载地址：https://www.qiyuesuo.com/more/security/servicepack。

🔍 契约锁电子签章及印章管控平台存在任意文件写入漏洞，未经过身份验证的攻击者可利用该漏洞写入任意文件，并最终导致远程代码执行，完全控制服务器。

⚠️ 该漏洞影响契约锁4.3.8-5.x.x版本（补丁版本<2.1.8）以及4.0.x-4.3.7版本（补丁版本<1.3.8）。

🔧 赛博昆仑CERT已成功复现该漏洞，并建议用户及时更新契约锁安全补丁以缓解风险。契约锁官方已发布安全补丁，下载地址：https://www.qiyuesuo.com/more/security/servicepack。

2025-07-11 14:08 广东

漏洞描述

    契约锁，是一个电子签章及印章管控平台，提供的电子文件具有与纸质文件一样的法律效力。平台上签署大体的流程是：由合同发起方上传需签署的合同文档，文档会进入“契约锁”的数据库，以加密形式存储；选择好所发对象后，会通过包含链接的短信、微信等方式进行提醒，签署方点击链接后可用手机完成签名操作，或者直接用“契约锁”App端完成该流程。    

    近日，赛博昆仑CERT监测契约锁存在任意文件写入漏洞。由于存在解析差异导致契约锁对zip检测的安全机制可以被绕过，未经过身份验证的攻击者可以利用该漏洞写入任意文件，并最终可以导致远程代码执行完全控制服务器。

漏洞名称	契约锁文件写入致远程代码执行漏洞
漏洞公开编号	暂无
昆仑漏洞库编号	CYKL-2025-017107
漏洞类型	文件写入	公开时间	2025年-7月
漏洞等级	高危	评分	暂无
漏洞所需权限	无权限要求	漏洞利用难度	低
PoC状态	未知	EXP状态	未知
漏洞细节	未知	在野利用	未知

影响范围

契约锁4.3.8-5.x.x 并且补丁版本 < 2.1.8

契约锁4.0.x-4.3.7 并且补丁版本 < 1.3.8

漏洞复现

目前，赛博昆仑CERT已成功复现契约锁文件写入致远程代码执行漏洞

防护措施

缓解措施

非必要，避免将该系统直接暴露在互联网

修复建议

    契约锁官方已发布安全补丁，请及时更新安全补丁：

    下载地址：

    https://www.qiyuesuo.com/more/security/servicepack

技术业务咨询

赛博昆仑支持对用户提供轻量级的检测规则或热补方式，可提供定制化服务适配多种产品及规则，帮助用户进行漏洞检测和修复。

赛博昆仑CERT已开启年订阅服务，付费客户(可申请试用)将获取更多技术详情，并支持适配客户的需求。

联系邮箱：cert@cyberkl.com

公众号：赛博昆仑CERT

时间线

    2025年7月，官方发布补丁

    2025年7月11日，赛博昆仑CERT发布漏洞风险通告

阅读原文

跳转微信打开