CVE-2020-37034 描述了 HelloWeb 2.0 中的一个严重漏洞，允许远程攻击者通过操纵 filepath 和 filename 参数下载系统文件。该漏洞利用了文件访问控制的缺陷，攻击者可以利用此漏洞获取敏感配置和系统信息。受影响的版本包括 2.0。建议用户尽快采取补丁措施或实施缓解措施以降低风险。
该漏洞的影响非常严重，攻击者可以利用它下载系统配置文件、源代码或其他敏感数据。这可能导致信息泄露、系统配置被篡改，甚至可能被用于进一步攻击。攻击者可以通过构造特定的 GET 请求，例如 download.asp 配合目录遍历，轻松访问目标文件。如果攻击者能够获取数据库连接字符串或其他凭据，他们可以进一步控制系统，造成更大的损失。该漏洞的潜在影响范围广泛，可能影响到整个系统安全。
目前没有公开的漏洞利用代码，但该漏洞的原理相对简单，容易被利用。该漏洞已于 2026-01-30 公开，属于高危漏洞。由于其易用性，可能成为攻击者的目标。建议密切关注安全社区的动态，及时获取最新的威胁情报。
Systems running HelloWeb version 2.0 are directly at risk. Shared hosting environments where multiple users share the same web server instance are particularly vulnerable, as an attacker exploiting this vulnerability on one user's account could potentially access files belonging to other users on the same server.
• generic web: Use curl to test the download.asp endpoint with directory traversal sequences (e.g., curl 'download.asp?filepath=../../../../etc/passwd&filename=passwd').
• generic web: Examine access logs for requests to download.asp containing ../ or other directory traversal sequences in the filepath or filename parameters.
• generic web: Check response headers for unexpected content types or file extensions when accessing download.asp with crafted parameters.
disclosure
漏洞利用状态
EPSS
0.21% (43% 百分位)
CISA SSVC
CVSS 向量
由于没有提供 fixed_in 版本，建议用户采取以下缓解措施。首先，限制对 download.asp 文件的访问，并严格控制允许访问的文件类型。可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，阻止目录遍历攻击。此外，应定期审查 HelloWeb 的配置，确保文件访问权限设置正确。如果无法立即升级，可以尝试修改 download.asp 文件的代码，增加对 filepath 和 filename 参数的验证，防止目录遍历攻击。升级后，请确认漏洞已成功修复，可以通过尝试访问敏感文件来验证。
Actualizar a una versión parcheada o descontinuar el uso de HelloWeb 2.0. Como medida temporal, se puede implementar una validación exhaustiva de las entradas de usuario en los parámetros filepath y filename para prevenir el acceso a archivos no autorizados.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2020-37034 是 HelloWeb 2.0 中发现的一个漏洞，允许攻击者通过操纵参数下载系统文件。该漏洞的 CVSS 评分为 7.5 (高)，影响版本为 2.0。
如果您正在使用 HelloWeb 2.0，则可能受到影响。请立即检查您的系统，并采取缓解措施或升级到修复版本。
由于没有提供修复版本，建议您限制对 download.asp 文件的访问，并使用 WAF 或修改代码进行缓解。
目前没有公开的漏洞利用代码，但由于漏洞原理简单，可能成为攻击者的目标。
请访问 HelloWeb 官方网站或安全公告页面，查找有关 CVE-2020-37034 的信息。