关键信息 漏洞类型 文件读取漏洞：通过JFinal模板引擎（Enjoy）实现任意文件读取。 影响版本 JFinal 3.0及以上版本。 漏洞细节 配置依赖： 复现过程： - 使用 对象和 类，通过 方法指定路径，可以读取任意文件内容。 - 示例代码： 详细说明： - 当文件被读取时，内容会被直接渲染输出，没有经过任何过滤。 - 只能从 中读取文件，但可能包含配置或源代码。 关键代码片段： - 类中的 方法初始化了 ，允许使用相对路径。 - 类中的 方法直接输出文件内容。 漏洞利用 由于Enjoy引擎内置在JFinal中，当模板路径可控时，可以发生任意文件读取。 示例代码展示了如何通过控制器方法触发漏洞： 测试验证 使用Burp Suite等工具进行测试，成功读取了 文件内容。