漏洞关键信息 漏洞描述 漏洞类型: 目录遍历漏洞 受影响系统: ruoyi-go Directory Traversal 2 #2 原因: 缺乏对下载功能参数的过滤和限制，导致任意文件下载漏洞。 漏洞发现者 OnTheWay 漏洞代码入口点 漏洞分析 参数从获取到使用未经过任何处理或限制，直接导致读取服务器上的任意数据和文件。 利用该漏洞，攻击者可以获取服务器上的任意资源和文件。 漏洞验证 POC: 安全建议 路径规范化: 在构造文件路径时，将用户输入与预定义的安全目录（如临时文件目录）连接，并使用规范化的路径方法（如 ），验证路径是否在允许的访问范围内。 特殊字符过滤: 过滤可能导致路径遍历的特殊字符，如 ，只允许安全字符如字母、数字和下划线。 白名单机制: 预定义允许的文件类型或文件名列表，仅当用户请求的文件在白名单中时才允许下载，否则拒绝请求。