CVE-2023-31718

Существует возможность включения локальных файлов в конечную точку /api/download. Эта конечная точка предназначена для загрузки отчётов из FUXA и может читать локальные файлы через параметр "name" в HTTP GET.

/api/download?cmd=REPORT-DOWNLOAD&name=../../../../../../etc/passwd

Название затрагиваемого продукта: FUXA

Затронутая версия: <= 1.1.12

Проблема: Включение локальных файлов

Описание: Существует возможность включения локальных файлов в конечную точку /api/download. Эта конечная точка предназначена для загрузки отчётов из FUXA и может читать локальные файлы через параметр "name" в HTTP GET /api/download?cmd=REPORT-DOWNLOAD&name=../../../../../../etc/passwd