CVE-2024-23334-PoC

إثبات مفهوم لثغرة LFI في aiohttp 3.9.1. يمكن استخدام الخيار follow_symlinks لتحديد ما إذا كان سيتم اتباع الروابط الرمزية خارج دليل الجذر الثابت. عند تعيين follow_symlinks إلى True، لا يوجد أي تحقق للتأكد من أن قراءة الملف تتم داخل دليل الجذر. قد يؤدي هذا إلى ثغرات اجتياز الدلائل، مما ينتج عنه وصول غير مصرح به إلى ملفات عشوائية على النظام.

الاستخدام

bash lfi.sh -u target_url -f File_to_Read

مثال