关键漏洞信息 漏洞标题: Directory Traversal & Filesystem can be accessed by a non-admin user 严重性: Moderate (5.3/10) 受影响的版本: < v2.1.4 已修复版本: v2.1.4 CVE ID: CVE-2026-23877 报告者: d-virtuosa 漏洞描述 概述 Swing Music 的 函数在 端点存在目录遍历漏洞。任何经过身份验证的用户（包括非管理员）都可以浏览服务器文件系统中的任意目录。 详细信息 该端点缺少正确的路径验证和授权检查： - 无需授权: 任何经过身份验证的用户都能访问此端点。 - 路径处理不当: 代码尝试将 预加到不存在的路径上，但这并不能阻止遍历。 示例代码 证明概念（PoC） 1. 创建一个非管理员用户。 2. 以非管理员用户身份进行身份验证。 3. 发送以下请求： 或使用 命令： 4. 响应将列出 目录，而不是限制在用户可访问的路径内： 影响 信息泄露风险: 服务器文件系统结构和布局 配置文件位置和名称 目录列表中的用户帐户名称 软件版本和已安装的包 日志文件位置和系统路径 额外风险: 为后续攻击做准备（如LFI、RCE） 绕过访问控制机制 暴露敏感目录结构