FTP Command Injection via CRLF in basic-ftp 漏洞概述 版本 5.2.0 允许在传递给高级路径 API(如 , , , , , , )的文件路径参数中,通过 CRLF 序列 ( ) 进行 FTP 命令注入。 该库的 辅助函数仅处理前导空格,而 方法将生成的命令直接写入控制套接字并附加 。这使得攻击者能够控制路径字符串,将一个预期的 FTP 命令拆分为多个命令。 CWE: CWE-93: Improper Neutralization of CRLF Sequences (CRLF Injection) CVSS 3.1: 8.6 (High) 受影响组件: 中所有通过 和 处理路径的方法。 影响范围 受影响版本: 5.2.0 (confirmed) 已修复版本: 5.2.1 修复方案 官方建议的修复方案是修改 函数(或添加新的验证层),以拒绝或剥离所有路径输入中的 和 字符。 推荐的修复代码 ( ): 即时变通方案 (Immediate workaround): 在将路径传递给 之前清理所有路径输入。 概念验证 (PoC) 代码 1. 模拟 FTP 服务器 ( ): 2. 攻击脚本 ( ):**