Gotac｜Statistics Database System - 任意文件读取

攻击者可以利用此漏洞访问服务器上的任何文件，只要他们能够构造一个有效的路径遍历请求。这可能包括配置文件、源代码、数据库备份，甚至其他用户的敏感数据。如果服务器上存储了数据库凭据或其他敏感信息，攻击者可能会获得进一步的访问权限，从而实现横向移动并扩大攻击范围。此漏洞的潜在影响包括数据泄露、系统破坏和未经授权的访问。

Organizations utilizing the Statistics Database System in production environments, particularly those with publicly accessible instances, are at risk. Systems with default configurations or those lacking robust access controls are especially vulnerable. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromise of one user's Statistics Database System instance could potentially expose data from other users.

• other / generic web:

curl -I 'http://your-statistics-db-system/../../../../etc/passwd' # Check for file access

• other / generic web:

 grep -r 'path traversal' /var/log/apache2/access.log # Look for suspicious requests in logs

• other / generic web:

curl -I 'http://your-statistics-db-system/../../../../' # Check for directory listing

1. 2026-01-16Disclosure

   disclosure

1. 已保留2026-01-16
2. 发布日期2026-01-16
3. EPSS 更新日期2026-03-23

虽然已发布 1.0.4 版本修复此漏洞，但如果无法立即升级，可以采取一些临时缓解措施。首先，限制对 Statistics Database System 的网络访问，仅允许授权用户访问。其次，实施严格的输入验证，以防止路径遍历攻击。可以使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求。此外，定期审查系统日志，以检测任何可疑活动。升级至 1.0.4 版本后，请验证文件访问权限是否已正确配置，并确认漏洞已成功修复。