MAL-005: WSO2 ESB 的“添加 Carbon 应用程序”功能中的 Zip Slip 漏洞

在 WSO2 ESB 的“Carbon 应用程序”添加功能中发现了基于 ZIP 文件的目录遍历（Zip Slip）漏洞。通过写入/覆盖特定文件，可能实现远程代码执行。

为什么没有 CVE？

供应商回复称此漏洞“已在 WUM 中修复”，且未进行公开披露。

要求：

此漏洞需要：

• 有效的用户凭据

概念验证：

更多详情和利用过程可参阅此 PDF。