CVE-2019-17538 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Jiangnan Online Judge 存在**路径遍历漏洞**。 📉 **后果**：攻击者可访问**受限目录之外**的文件，导致敏感信息泄露。

🔍 **缺陷点**：系统未能正确过滤资源或文件路径中的**特殊元素**。 📝 **CWE**：数据中未提供具体 CWE ID。

🎯 **影响对象**：Jiangnan Online Judge (jnoj)。 📦 **受影响版本**：**0.8.0** 版本。

💣 **黑客能力**：读取服务器上的**任意文件**。 📂 **目标**：突破当前目录限制，访问系统其他位置的文件。

🔓 **利用门槛**：**低**。 ⚙️ **条件**：无需认证，通过构造特定的 URL 参数即可触发。

🧪 **现成 Exp**：**有**。 🔗 **来源**：ProjectDiscovery nuclei-templates 中已有 PoC 模板。

🔎 **自查方法**：访问 `/web/polygon/problem/viewfile?id=1&name=../.`。 👀 **观察**：若返回非预期文件或报错，则存在风险。

🛡️ **官方修复**：数据中**未提及**官方补丁或修复版本。 📌 **参考**：仅提供了 GitHub Issue #53 链接。

🚧 **临时规避**：限制 `/web/polygon/problem/viewfile` 接口的访问权限。 🚫 **策略**：在 WAF 或网关层拦截包含 `../` 的请求。

⚡ **优先级**：**高**。 📅 **时间**：2019年发布，虽旧但原理典型。 💡 **建议**：立即排查是否仍在使用 0.8.0 版本，尽快升级或隔离。