
Webmin Local File Include (nicht authentifiziert)
Webmin vor Version 1.290 und Usermin vor Version 1.220 ruft die Funktion simplify_path vor dem Dekodieren von HTML auf, was es entfernten Angreifern ermöglicht, beliebige Dateien zu lesen, wie anhand von "..%01"-Sequenzen demonstriert wird, die das Entfernen von "../"-Sequenzen umgehen, bevor Bytes wie "%01" aus dem Dateinamen entfernt werden.