关键信息 漏洞类型: Path Traversal 受影响版本: <=v4.5.1 严重性: High (8.6/10) CVE ID: CVE-2025-31131 CVSS v3 基本指标: - 攻击向量: Network - 攻击复杂度: Low - 所需权限: None - 用户交互: None - 范围: Changed - 机密性: High - 完整性: None - 可用性: None 弱点: CWE-22 报告者: masquerad3r 漏洞描述 概要 参数存在路径遍历攻击漏洞，允许读取服务器上的任意文件。通过在 参数中提交 作为payload，可以获取请求的文件内容。 详细信息 当用户可控的数据在文件系统操作中以不安全的方式使用时，会出现文件路径遍历漏洞。攻击者可以通过提供路径遍历序列（使用点点斜杠字符）来突破预期目录并读取或写入文件系统其他位置的文件。 PoC 1. 访问以下URL查看 的内容： 2. 类似地，可以使用 作为payload读取 的内容（包含数据库密码）。 影响 这是一个非常严重的漏洞，允许攻击者访问包含配置数据、密码、数据库记录、日志数据、源代码和程序脚本及二进制文件的敏感文件，导致完全失去机密性。