BigBlueButton 2.2.4 之前版本 LFI 漏洞（CVE-2020-12112）利用分析

BigBlueButton 低于 2.2.4 的版本存在 LFI 漏洞 CVE-2020-12112，可通过修改演示文件下载链接中的 presFilename 参数读取服务器敏感文件，如 /etc/passwd。该漏洞源于 PresentationController 将目录路径与文件名直接拼接。BBB 团队已在 2.2.4 版本通过 HTTP 配置规则、正则校验和文件名格式限制完成修复。