CVE-2020-29666

目录列表

[建议描述] 在 Lan ATMService M3 ATM Monitoring System 6.1.0 中，由于目录列表漏洞，远程攻击者可以查看位于 /websocket/logs/ 中的日志文件，这些文件包含用户的 Cookie 值以及预定义的开发者 Cookie 值。

[附加信息] 已向厂商发送了一封关于该漏洞的信函。

[漏洞类型其他] CWE-548: 通过目录列表暴露信息

[产品厂商] Lan ATMService LLC (http://lanatmservice.ru/)

[受影响产品代码库] 受影响版本：M3 ATM Monitoring System 6.1.0。没有修复版本，也没有来自开发者的任何回应。

[受影响组件] 服务器配置错误，允许远程攻击者查看日志文件中的用户 Cookie 值。

[攻击类型] 远程

[影响信息泄露] true

[攻击向量] 远程攻击者可以查看位于 {HOST}/websocket/logs/ 中的日志文件，这些文件包含用户的 Cookie 值。

[发现者] Dmitry Kuramin (Jet Infosystems, jet.su)

[参考] https://jet.su