# AdonisJS 多部分文件路径遍历漏洞
## 概述
AdonisJS 的 multipart 文件处理中存在路径遍历漏洞,可能导致远程攻击者在服务器文件系统上的任意位置写入任意文件。
## 影响版本
- `@adonisjs/bodyparser` ≤ 10.1.1
- `@adonisjs/bodyparser` 11.x 预发布版本 < 11.0.0-next.6
## 细节
该漏洞存在于 AdonisJS 对 multipart 文件上传的处理过程中,攻击者可通过构造恶意路径实现路径遍历,从而将上传的文件保存到非预期的服务器目录。
## 影响
未经身份验证的远程攻击者可利用此漏洞在服务器上任意路径写入文件,可能导致远程代码执行或服务器被完全控制。
是否为 Web 类漏洞: 未知
判断理由:
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | CVE-2026-21440 | https://github.com/Ashwesker/Ashwesker-CVE-2026-21440 | POC详情 |
| 2 | Advanced detection-only PoC for CVE-2026-21440 affecting AdonisJS BodyParser. No exploitation included. | https://github.com/you-ssef9/CVE-2026-21440 | POC详情 |
| 3 | poc and writeup for cve-2026-21440: a critical path traversal vulnerability in @adonisjs/bodyparser allowing arbitrary file writing | https://github.com/k0nnect/cve-2026-21440-writeup-poc | POC详情 |
暂无评论