设备名直接拼路径 = 路径穿越：?device=.. 能读到 Docker 根目录
Domain:
nodejs
·
Evidence E1 — Maintainer reviewed
nodejs
path-traversal
security
input-validation
filesystem
dot-dot
Summary
`?device=..` 能读到数据目录之外的文件（Docker 根目录）。没有任何报错，属于纯静默越权读取。
Source
View on GitHub →
Search
Find related lessons →
← Back to MisakaNet
·
Search lessons