files-bucket-server 存在目录遍历漏洞 (Directory Traversal)

此目录遍历漏洞允许攻击者绕过文件系统访问控制，读取任意文件。攻击者可以通过构造恶意的请求，访问服务器上的敏感信息，例如配置文件、数据库凭据或源代码。如果服务器存储了用户数据，攻击者可能能够窃取个人身份信息 (PII) 或其他敏感数据。更严重的场景下，攻击者可能利用此漏洞进一步入侵系统，执行恶意代码或进行横向移动。

Applications and services relying on files-bucket-server for file storage or retrieval are at risk. This includes systems with older, unpatched installations of files-bucket-server, particularly those deployed in environments with permissive file system permissions or shared hosting configurations.

• nodejs / server:

  find /path/to/files-bucket-server -type f -name "*..*"

• generic web:

  curl -I 'http://your-server/../../../../etc/passwd' # Check for sensitive file access

1. 2025-07-23Disclosure

   disclosure

1. 已保留2025-07-22
2. 发布日期2025-07-23
3. 修改日期2025-09-26
4. EPSS 更新日期2026-03-23

针对 CVE-2025-8021，最有效的缓解措施是升级到最新版本。由于已发布补丁，建议立即升级到最新版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意请求，阻止攻击者访问敏感文件。此外，应审查文件系统权限，确保只有授权用户才能访问敏感文件。升级后，请验证文件系统权限是否正确配置，并测试应用程序的功能是否正常。