关键漏洞信息 漏洞标题: Unauthorized Arbitrary File Read in IsFusion ≤ 6.1 漏洞ID: #1543 受影响版本: IsFusion ≤ 6.1 漏洞文件: web-client/src/main/java/isfusion/http/controller/file/DownloadFileRequestHandler.java 漏洞描述: - API 用于在无需认证的情况下下载logo和图标。 - 类中的 方法支持一个 参数。 - 如果攻击者直接访问 （不带 trailing path），文件名仅从未验证的 参数派生。 - 生成的 直接附加到 ，导致任意文件读取漏洞。 漏洞代码示例: 概念验证(POC): 1. 请求API 并向 参数传递目录遍历payload。