平台
rust
组件
salvo
修复版本
0.39.1
0.89.3
CVE-2026-33242 描述了 Salvo Rust 框架中发现的路径遍历和访问控制绕过漏洞。该漏洞允许未经验证的外部攻击者绕过代理路由约束，并访问意外的后端路径，例如受保护的端点或管理仪表板。受影响的版本包括 v0.89.2。建议升级至 0.89.3 版本以解决此问题。
该漏洞的潜在影响是严重的。攻击者可以利用此漏洞访问敏感数据，例如数据库凭据、API 密钥或内部系统信息。他们还可以利用此漏洞执行未经授权的操作，例如修改数据、删除文件或执行恶意代码。由于 Salvo Rust 框架通常用于构建 Web 应用程序和 API，因此此漏洞可能导致广泛的数据泄露和系统破坏。攻击者可以通过构造包含“../”序列的恶意请求来利用此漏洞，这些序列未被正确地规范化，从而允许他们访问未经授权的资源。
目前尚无公开的漏洞利用程序，但该漏洞的严重性表明它可能成为攻击者的目标。该漏洞已添加到 CISA KEV 目录中，表明其具有中等概率被利用。建议密切监控系统，并及时应用补丁。
Organizations utilizing the Salvo Rust framework in their proxy or API gateway infrastructure are at risk. This includes those deploying Salvo in production environments, particularly those with exposed backend services or administrative interfaces. Applications relying on Salvo for routing and security should be prioritized for patching.
• rust/supply-chain: Examine Cargo.toml files for dependencies on salvo versions prior to 0.89.3. Use cargo audit to identify vulnerable dependencies.
• generic web: Monitor access logs for requests containing suspicious URL patterns like .../.. or ..././...
• generic web: Inspect response headers for unexpected backend paths being exposed.
curl -I 'http://your-salvo-proxy/../../sensitive-resource' # Example request to test for bypassdisclosure
漏洞利用状态
EPSS
0.02% (4% 百分位)
CISA SSVC
缓解此漏洞的主要方法是升级至 Salvo Rust 框架的 0.89.3 版本，该版本修复了该漏洞。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以配置代理服务器以阻止包含“../”序列的请求。此外，可以实施更严格的访问控制策略，以限制对敏感资源的访问。在升级后，请验证代理路由配置是否正确，并确保所有后端路径都受到适当的保护。
Actualice Salvo a la versión 0.89.3 o superior. Esta versión corrige la vulnerabilidad de Path Traversal en el componente salvo-proxy.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-33242 是 Salvo Rust 框架 (v0.89.2) 中的路径遍历漏洞，允许攻击者绕过代理路由限制访问后端路径。
如果您正在使用 Salvo Rust 框架的 v0.89.2 版本，则可能受到此漏洞的影响。
升级至 Salvo Rust 框架的 0.89.3 版本以修复此漏洞。
目前尚无公开的漏洞利用程序，但该漏洞的严重性表明它可能成为攻击者的目标。
请查阅 Salvo Rust 框架的官方 GitHub 仓库或相关安全公告。
CVSS 向量
上传你的 Cargo.lock 文件，立即知道是否受影响。