CVE-2021-43778
— 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：GLPI 条形码插件存在**路径遍历**漏洞。
💥 **后果**：攻击者可读取服务器敏感文件，导致**信息泄露**甚至**系统被控**。
📉 **严重度**：CVSS 3.1 高分，危害极大。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22（路径遍历）。
🐛 **缺陷点**：插件未对用户输入的**文件路径**进行严格校验。
📂 **核心问题**：允许通过 `../` 等序列跳出指定目录，访问任意文件。
Q3影响谁？（版本/组件）
🏢 **软件**：GLPI（IT资产管理软件）。
🧩 **组件**：**Barcode** 插件（用于打印条码/二维码）。
📅 **版本**：GLPI 2.x 且安装了 **2.6.1 之前**的 Barcode 插件。
Q4黑客能干啥？（权限/数据）
👁️ **数据**：读取服务器上的**任意文件**（如配置文件、源码、敏感数据）。
🔓 **权限**：虽未直接提 RCE，但文件读取可辅助进一步攻击。
📊 **影响**：机密性 (C:H) 和完整性 (I:H) 受损。
Q5利用门槛高吗？（认证/配置）
🚪 **认证**：数据未提及需要认证（PR:N），可能**无需登录**即可利用。
🎯 **配置**：需安装特定版本的 Barcode 插件。
⚡ **难度**：AC:L（低），攻击简单直接。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：有现成 PoC 代码（GitHub: AK-blank）。
🔎 **扫描**：ProjectDiscovery Nuclei 模板已支持检测。
🌍 **在野**：数据未明确提及大规模在野利用，但漏洞已公开。
Q7怎么自查？（特征/扫描）
🔍 **特征**：检查 URL 中是否包含 Barcode 插件相关路径。
🛠️ **扫描**：使用 Nuclei 模板 `CVE-2021-43778.yaml` 进行批量扫描。
📂 **验证**：尝试构造包含 `../` 的请求，看是否返回非预期文件内容。
Q8官方修了吗？（补丁/缓解）
✅ **补丁**：官方已修复。
📦 **版本**：升级 Barcode 插件至 **2.6.1** 或更高版本。
🔗 **参考**：GitHub 发布页及安全公告已确认修复。
Q9没补丁咋办？（临时规避）
🛡️ **临时方案**：直接**删除** `front/send.php` 文件。
🚫 **效果**：阻断漏洞利用入口，防止路径遍历攻击。
⚠️ **注意**：此操作会影响条码打印功能，需权衡风险。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
🚨 **理由**：无需认证、利用简单、危害严重（高机密/完整性损失）。
🏃 **行动**：立即升级插件或执行临时规避措施，切勿拖延。