漏洞总结 漏洞概述 该漏洞为 路径遍历漏洞（Path Traversal），存在于 文件中。攻击者可通过构造恶意请求，利用未过滤的 和 参数，实现任意文件读取或写入，从而可能导致敏感信息泄露或远程代码执行。 影响范围 受影响文件： 漏洞函数： 和 攻击向量：通过 和 参数注入 等路径遍历序列 风险等级：高（可访问服务器任意文件） 修复方案 1. 新增路径遍历防护函数 ： - 检查文件名是否包含 或 URL 编码后的 - 使用 验证路径合法性，限制在 目录下 2. 更新 函数中的 配置： - 将 加入白名单，强制对文件名进行路径遍历检查 3. 修复 参数直接使用问题： - 在设置 和 前，对 和 进行清理（ ） POC / 利用代码（来自 diff 中的敏感文件列表） 以下为原代码中被移除的敏感文件模式（攻击者可尝试读取）： > 注：这些是原配置中允许访问的文件模式，修复后通过 函数拦截了包含 的路径，防止越权访问。 --- ✅ 修复提交者：Tom Reijnders ✅ 提交时间：3 weeks ago ✅ 关联 Issue：#1527 - Xerte Vulnerabilities