关键信息 漏洞概述 漏洞编号: CVE-2024-21542 受影响软件: Luigi 漏洞类型: 任意文件写入（通过存档提取，即Zip Slip） 原因: 在 函数中对目标文件路径验证不当。 细节 利用方式: 使用特制的ZIP存档，其中包含路径遍历文件名。 影响: 当被利用时，恶意存档中的文件名会超出目标提取目录，导致最终路径在目标文件夹之外。例如，一个ZIP可能包含位于“../../file.exe”位置的文件，从而突破目标文件夹。 风险: 如果可执行文件或配置文件被包含恶意代码的文件覆盖，问题很容易演变成任意代码执行问题。 示例 ZIP存档示例：包含一个良性文件和一个恶意文件。提取恶意文件会导致遍历出目标文件夹，最终到达 文件。 运行PoC 创建恶意 通过参数传递给 检查 目录。 参考链接 Snyk安全公告 Spotify Luigi提交记录 Spotify Luigi问题#3301