Alist 存在于 github.com/alist-org/alist 的多个文件操作处理程序中的路径遍历漏洞

攻击者可以利用此路径遍历漏洞访问 alist 服务器上的任何文件，包括配置文件、源代码、数据库备份等。如果这些文件包含敏感信息，例如 API 密钥、数据库密码或用户数据，攻击者就可以利用这些信息进行进一步的攻击，例如数据泄露、权限提升或系统控制。由于 alist 通常用于文件存储和共享，因此该漏洞的潜在影响范围非常广泛，可能影响到大量用户的数据安全。

Organizations and individuals using alist for file sharing and storage are at risk, particularly those running older versions prior to 3.57.0. Shared hosting environments where multiple users share the same alist instance are especially vulnerable, as a compromise of one user's account could potentially lead to access to other users' data.

• linux / server:

find /opt/alist -name '*alist*' -type f -exec grep -i '../' {} + # Search for '..' in alist files

• generic web:

curl -I 'http://your-alist-instance/../../../../etc/passwd' # Attempt to access sensitive files

• linux / server:

journalctl -u alist -f | grep -i 'path traversal' # Monitor alist logs for path traversal attempts

1. 2026-02-05Disclosure

   disclosure

1. 已保留2026-01-29
2. 发布日期2026-02-05
3. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级至 alist 3.57.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意请求，阻止攻击者利用路径遍历漏洞。此外，应限制 alist 应用程序的权限，确保其只能访问必要的文件和目录。定期审查 alist 的配置，确保其遵循安全最佳实践。