GitHub 安全公告库 (GHSA)·· 2 天前精选AI 评分60
ApostropheCMS 的 uploadfs 本地存储存在路径穿越，可任意读写删文件
ApostropheCMS: Path traversal in uploadfs
AI 导读
GitHub 安全公告 GHSA-gmfx-5g6x-rr72 指出，ApostropheCMS 的 uploadfs 库本地存储后端不校验用户传入路径，prefixPath() 只去掉双斜杠，后端直接拼接 uploadsPath + path，攻击者可用 ../ 逃逸上传目录，实现任意文件读取、写入和删除。
为什么值得看
公告给出 uploadfs 本地存储路径拼接缺陷的成因与可复现请求，并附修复校验思路，便于自查上传接口。
来源：GitHub 安全公告库 (GHSA) · github.com