漏洞总结:Publish Reader Can Arbitrarily Delete Attribute View Files 漏洞概述 漏洞名称:Publish Reader Can Arbitrarily Delete Attribute View Files via 漏洞类型:权限绕过、任意文件删除 严重程度:高(8.2/10) CVE ID:CVE-2024-40259 CVSS v3 基础指标: - 攻击向量:网络 - 攻击复杂度:低 - 所需权限:低 - 用户交互:无 - 范围:未改变 - 机密性:无 - 完整性:高 - 可用性:高 影响范围 受影响版本: 修复版本: 影响组件: 攻击前提: - 发布服务已启用 - 攻击者可以访问发布服务 - 如果启用了发布身份验证,攻击者拥有发布读者凭据 - 攻击者知道一个 修复方案 最小修复措施: 1. 阻止发布/只读用户从此路由访问。 2. 要求管理员/写入授权。 3. 在删除前重新验证目标 AV 是否确实未使用。 安全路由修复: 模型/处理程序内部修复: - 在模型或处理程序内部,除非目标 存在于 中,否则拒绝删除。 概念验证 (POC) 代码 预期结果: HTTP 200 后端增加同步状态 目标属性视图文件从 中移除 发布和本地工作区行为因该 AV 损坏而中断,直到从历史记录中恢复或重新创建