SHIRASAGI 在 v1.19.1 之前版本中，对 HTTP 请求中的 URL 处理不当，导致路径遍历漏洞。如果此漏洞被利用，攻击者可能从服务器检索任意文件。

该路径遍历漏洞的潜在影响非常严重。攻击者可以利用此漏洞读取服务器上的任何文件，包括配置文件、源代码、数据库凭据和其他敏感信息。成功利用此漏洞可能导致数据泄露、系统入侵，甚至完全控制受影响的服务器。攻击者可能通过在 HTTP 请求中包含恶意路径来利用此漏洞，绕过正常的访问控制机制。由于 SHIRASAGI 经常用于处理用户上传的文件，因此该漏洞可能被用于在服务器上执行恶意代码。

Organizations deploying SHIRASAGI, particularly those with publicly accessible instances, are at risk. Systems with older, unpatched versions of SHIRASAGI are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be affected, as a compromise of one user's SHIRASAGI instance could potentially lead to access for other users.

1. 2024-10-15Disclosure

   disclosure

1. 已保留2024-10-04
2. 发布日期2024-10-15
3. 修改日期2024-10-23
4. EPSS 更新日期2026-04-02

缓解此漏洞的首要措施是立即升级到 SHIRASAGI 的最新版本 1.19.1。如果无法立即升级，可以考虑以下临时缓解措施：限制 SHIRASAGI 的访问权限，只允许来自受信任来源的请求。实施严格的输入验证，过滤掉任何可能包含恶意路径的输入。使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。监控 SHIRASAGI 的日志文件，查找任何可疑活动。升级后，请验证漏洞是否已成功修复，例如通过尝试访问受保护的文件，确认访问被拒绝。