CVE-2021-42913

Webmin до версии 1.290 и Usermin до версии 1.220 вызывают функцию simplify_path перед декодированием HTML, что позволяет удалённым злоумышленникам читать произвольные файлы, как продемонстрировано с использованием последовательностей "..%01", которые обходят удаление последовательностей "../" до того, как такие байты, как "%01", удаляются из имени файла.