CVE-2018-19052

总结

在 1.4.50 之前的 lighttpd 中，mod_alias.c 的 mod_alias_physical_handler 存在一个已发现的问题。在特定的 mod_alias 配置下，存在潜在的 ../ 路径遍历，可访问别名目标上一级的单个目录；该配置中，匹配的别名缺少尾部 '/' 字符，而别名目标的文件系统路径则带有尾部 '/' 字符。

• cve-2018-19052PoC

  针对某个安全问题的 PoC：在特定配置下存在潜在的路径遍历，如果启用了 `mod_dirlisting`（默认未启用），这将导致列出别名上方目录的内容。。