目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1000 元

100.0%
请我们喝杯咖啡

CWE-1386 类漏洞列表 14

CWE-1386 类弱点 14 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-1386 属于路径遍历类漏洞，指程序未正确验证 Windows 符号链接或挂载点，导致名称被重定向至预期控制范围之外的目标。攻击者通常利用此缺陷，通过创建恶意链接将文件操作指向敏感系统文件或用户数据，从而实施未授权的读取、写入或删除。开发者应避免直接使用相对路径，启用严格的路径规范化检查，并限制对符号链接的创建权限，确保操作始终限定在受控目录内。

MITRE CWE 官方描述
CWE：CWE-1386 在 Windows Junction / Mount Point 上的不安全操作 英文：产品打开文件或目录，但未能正确防止该名称被关联到指向预期控制范围之外目标位置的 junction（连接点）或 mount point（挂载点）。 根据所执行的具体操作，这可能导致攻击者使产品读取、写入、删除或以其他方式操作未经授权的文件。在 Windows 中，NTFS5 允许存在一种称为 reparse point（重解析点）的文件系统对象。应用程序可以在一个目录与另一个目录之间创建硬链接，称为 junction point（连接点）。它们还可以创建从目录到驱动器字母的映射，称为 mount point（挂载点）。如果某个文件被特权程序使用，但可以被替换为指向敏感文件（例如 AUTOEXEC.BAT）的硬链接，攻击者可能实现权限提升。当进程打开该文件时，攻击者可以继承该进程的权限，诱使特权进程读取、修改或删除敏感文件，从而导致程序无法准确处理数据。注意，也可以指向 registries（注册表）和 semaphores（信号量）。
常见影响 (3)
ConfidentialityRead Files or Directories
Read arbitrary files by replacing a user-controlled folder with a mount point and additional hard links.
IntegrityModify Files or Directories
Modify an arbitrary file by replacing the rollback files in installer directories, as they can have the installer execute those rollbacks.
AvailabilityModify Files or Directories
Even if there is no control of contents, an arbitrary file delete or overwrite (when running as SYSTEM or admin) can be used for a permanent system denial-of-service, e.g. by deleting a startup configuration file that prevents the service from starting.
缓解措施 (1)
Architecture and DesignWhen designing software that will have different rights than the executer, the software should check that files that it is interacting with are not improper hard links or mount points. One way to do this in Windows is to use the functionality embedded in the following command: "dir /al /s /b" or, in PowerShell, use LinkType as a filter. In addition, some software uses authentication via signing t…
CVE ID标题CVSS风险等级Published
CVE-2025-58074 诺顿Secure VPN特权提升漏洞 — Norton Secure VPN 8.8 High2026-05-04
CVE-2024-36340 AMD uProf 安全漏洞 — AMD μProf 6.6 Medium2025-05-13
CVE-2024-7400 ESET多款产品 安全漏洞 — ESET NOD32 Antivirus 7.1AIHighAI2024-09-27
CVE-2023-32454 Dell Update Package（DUP）Framework 后置链接漏洞 — DUP Framework 6.3 Medium2024-02-06
CVE-2023-32474 Dell Display Manager 后置链接漏洞 — Dell Display Manager 6.6 Medium2024-02-06
CVE-2023-5834 Vagrant 安全漏洞 — Vagrant 3.8 Low2023-10-27
CVE-2023-40623 SAP BusinessObjects Suite Installer 安全漏洞 — SAP BusinessObjects Suite (Installer) 6.2 Medium2023-09-12
CVE-2023-32470 Dell Digital Delivery 安全漏洞 — Dell Digital Delivery 5.0 Medium2023-09-08
CVE-2023-28065 部分Dell产品 后置链接漏洞 — Dell Command Update (DCU) 6.7 Medium2023-06-23
CVE-2023-28071 Dell Command Update 后置链接漏洞 — Dell Command Update (DCU) 6.3 Medium2023-06-23
CVE-2023-23697 Dell Command | Intel vPro Out of Band 后置链接漏洞 — Dell Command Update (DCU) 4.7 Medium2023-02-13
CVE-2023-24572 Dell Command Integration Suite for System Center 后置链接漏洞 — Dell Command Integration Suite for System Center (DCIS) 4.7 Medium2023-02-13
CVE-2023-23698 多款Dell产品 安全漏洞 — Dell Command Update (DCU) 5.5 Medium2023-02-10
CVE-2022-42291 NVIDIA GeForce Experience 后置链接漏洞 — GeForce Experience 8.2 High2023-02-07

CWE-1386 是常见的弱点类别，本平台收录该类弱点关联的 14 条 CVE 漏洞。