Help us learn about your current experience with the documentation. Take the survey.
对路径名到受限目录的限制不当（路径遍历）
描述
该漏洞可以通过在 URL 端点的参数中插入 payload 来利用，从而允许读取任意文件。 这可能被用来读取敏感文件、访问其他用户的数据，或协助进一步利用以获取更多系统访问权限。
修复建议
永远不要使用用户输入来构建与文件系统交互的路径或文件。这包括用户上传或下载提供的文件名。
如果可能，考虑对文件名进行哈希处理，并在数据库或数据存储中引用哈希后的文件名，而不是直接尝试访问用户或其他系统组件提供的文件名。
在极少数情况下，如果应用程序必须处理文件名，请使用语言提供的功能来仅提取提供值中的文件名部分。切勿尝试使用来自用户输入的路径或目录信息。
详情
| ID | 聚合 | CWE | 类型 | 风险 |
|---|---|---|---|---|
| 22.1 | false | 22 | 主动 | 高 |