漏洞概述 该网页描述了一个名为 的 Perl 中间件的弃用通知。此中间件用于设置 X-Sendfile 或类似头文件，以便前端服务器（如 Nginx、Apache、lighttpd）能够直接提供文件服务。由于安全设计缺陷，配置通过 HTTP 请求头传递，存在被滥用的风险。 影响范围 前端服务器：Nginx、Apache、lighttpd 等支持 X-Sendfile 功能的服务器。 后端应用：使用 Plack 框架的 Perl 应用。 安全风险：如果未正确配置，攻击者可以通过伪造请求头来访问不应公开的文件，导致信息泄露。 修复方案 1. 弃用中间件：建议不再使用 ，而是直接在应用中设置适当的头文件。 2. 前端配置： - Nginx：配置内部位置并传递 头文件，确保文件系统路径转换为内部 URL。 - Apache：启用 模块，并设置请求头以激活中间件。 - lighttpd：启用 并设置重写规则。 3. 安全配置： - 确保 和 头文件由前端代理设置，而不是由不受信任的客户端提供。 - 确保 Plack 后端不直接暴露给不受信任的客户端。 POC 代码 前端配置示例 Nginx Apache lighttpd 安全注意事项 确保 和 头文件由前端代理设置，而不是由不受信任的客户端提供。 确保 Plack 后端不直接暴露给不受信任的客户端。