目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1000 元

100.0%
请我们喝杯咖啡

CWE-32 路径遍历：’…’ (三个点号) 类漏洞列表 2

CWE-32 路径遍历：’…’ (三个点号) 类弱点 2 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-32 属于路径遍历漏洞，指程序使用外部输入构建受限目录内的文件路径时，未正确过滤“...”序列。攻击者利用该缺陷绕过目录限制，通过解析特殊字符序列访问受限区域外的敏感文件或系统资源。开发者应严格校验输入，使用白名单机制限制合法字符，并采用安全的路径拼接函数或标准化路径解析逻辑，确保最终路径始终位于预期的安全目录内。

MITRE CWE 官方描述
CWE：CWE-32 路径遍历：'...'（Triple Dot） 产品使用外部输入来构建一个预期位于受限目录内的路径名，但它未能正确中和 '...'（三引号）序列，该序列可能解析到该目录之外的位置。 这允许攻击者遍历文件系统，以访问受限目录之外的文件或目录。'...' 操纵有助于绕过某些路径遍历保护方案。在某些 Windows 系统上，它等同于 "..\.."，并且可能绕过仅假设两个点号有效的检查。不完整的过滤（例如移除 "./" 序列）可能最终因折叠为不安全值而产生有效的 ".." 序列（CWE-182）。
常见影响 (1)
Confidentiality, IntegrityRead Files or Directories, Modify Files or Directories
缓解措施 (2)
ImplementationAssume all input is malicious. Use an "accept known good" input validation strategy, i.e., use a list of acceptable inputs that strictly conform to specifications. Reject any input that does not strictly conform to specifications, or transform it into something that does. When performing input validation, consider all potentially relevant properties, including length, type of input, the full range…
Effectiveness: High
ImplementationInputs should be decoded and canonicalized to the application's current internal representation before being validated (CWE-180). Make sure that the application does not decode the same input twice (CWE-174). Such errors could be used to bypass allowlist validation schemes by introducing dangerous inputs after they have been checked.
CVE ID标题CVSS风险等级Published
CVE-2024-41784 IBM Sterling Secure Proxy 安全漏洞 — Sterling Secure Proxy 7.5 High2024-11-15
CVE-2024-6049 Lawo AG vsm LTC Time Sync 安全漏洞 — vsm LTC Time Sync (vTimeSync) 7.5AIHighAI2024-10-24

CWE-32（路径遍历：’…’ (三个点号)） 是常见的弱点类别，本平台收录该类弱点关联的 2 条 CVE 漏洞。