一、 漏洞 CVE-2017-14849 基础信息
漏洞信息
                                        # N/A

## 漏洞概述
Node.js 8.5.0 到 8.6.0 之间的版本允许远程攻击者访问意外文件，原因是 ".." 处理方式的更改与未指定社区模块使用的路径名验证不兼容。

## 影响版本
- Node.js 8.5.0 至 Node.js 8.5.x（低于 8.6.0）

## 细节
由于 ".." 处理方式的变化与某些未指定社区模块中使用的路径名验证不兼容，导致攻击者可以访问到原本不应访问的文件。

## 影响
远程攻击者可以利用此漏洞访问未经授权的文件。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Node.js 8.5.0 before 8.6.0 allows remote attackers to access unintended files, because a change to ".." handling was incompatible with the pathname validation used by unspecified community modules.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Joyent Node.js 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Joyent Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。该平台主要用于构建高度可伸缩的应用程序，以及编写能够处理数万条且同时连接到一个物理机的连接代码。 Joyent Node.js 8.6.0之前的8.5.0版本中存在安全漏洞。远程攻击者可利用该漏洞访问敏感文件。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
路径遍历
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2017-14849 的公开POC
# POC 描述 源链接 神龙链接
1 Node.js before 8.6.0 allows remote attackers to access unintended files because a change to ".." handling is incompatible with the pathname validation used by unspecified community modules. https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2017/CVE-2017-14849.yaml POC详情
2 None https://github.com/Threekiii/Awesome-POC/blob/master/%E4%B8%AD%E9%97%B4%E4%BB%B6%E6%BC%8F%E6%B4%9E/Node.js%20%E7%9B%AE%E5%BD%95%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%20CVE-2017-14849.md POC详情
3 https://github.com/vulhub/vulhub/blob/master/node/CVE-2017-14849/README.md POC详情
三、漏洞 CVE-2017-14849 的情报信息