CVE-2021-41293 — 神龙十问 AI 深度分析摘要

🚨 **本质**：路径遍历漏洞 (Path Traversal)。 💥 **后果**：攻击者可远程**泄露任意文件**，导致敏感及系统信息曝光。

🔍 **CWE**：CWE-22 (路径遍历)。 📍 **缺陷点**：`viewlog.jsp` 中的 `fname` POST 参数未做严格校验。

🏢 **厂商**：ECOA Technologies Corp。 📦 **产品**：Ecoa BAS Controller (ECS Router Controller ECS (FLASH))。

🕵️ **权限**：无需身份验证 (Unauthenticated)。 📂 **数据**：可读取设备上的**任意文件**，获取敏感信息。

📉 **门槛**：极低。 ✅ **条件**：远程 (AV:N) + 无需认证 (PR:N) + 无需交互 (UI:N)。

🧪 **PoC**：有。 🔗 **来源**：ProjectDiscovery Nuclei Templates (CVE-2021-41293.yaml)。

🔎 **自查**：扫描目标是否存在 `viewlog.jsp`。 📝 **特征**：向该接口发送包含 `../` 的 `fname` 参数，观察是否返回非预期文件内容。

🛡️ **状态**：数据未提及官方补丁链接。 ⚠️ **建议**：需联系厂商 ECOA 获取最新修复方案或安全公告。

🚧 **规避**： 1. **网络隔离**：限制对 BAS 控制器的外部访问。 2. **WAF 防护**：拦截包含 `../` 或敏感路径的 POST 请求。

🔥 **优先级**：高。 📊 **CVSS**：7.5 (High)。 ⚡ **理由**：远程无认证即可读取任意文件，风险极大，需立即关注。