kernel-cyber/cve-2006-3392Эксплойт для CVE-2006-3392: неаутентифицированное локальное включение файлов в Webmin до версии 1.290 и Usermin до версии 1.220, обход фильтров обхода каталогов с использованием закодированных символов.
Webmin до версии 1.290 и Usermin до версии 1.220 вызывают функцию simplify_path перед декодированием HTML, что позволяет удалённым злоумышленникам читать произвольные файлы, как продемонстрировано с использованием последовательностей "..%01", которые обходят удаление последовательностей "../" до того, как такие байты, как "%01", удаляются из имени файла.
