关键信息 版本 版本: 1.10.14 漏洞描述 漏洞类型: 本地文件包含（LFI）漏洞 受影响组件: gRPC服务器的 端点 问题原因: 函数仅检查文件路径是否以 结尾，未进行充分的路径验证。攻击者可以通过在路径末尾附加 来访问任意文件。 源-汇分析 1. 源: 用户控制的输入来自gRPC请求中的 字段。 2. 处理: 函数仅执行简单的扩展名检查。 3. 汇: 在 调用中，基于未经充分清理的用户输入打开文件。 概念验证 1. 创建目标文件： 2. 启动Dagster gRPC服务器： 3. 使用以下利用脚本： 4. 运行利用脚本来读取文件： 修复措施 修复了路径遍历漏洞。