CVE-2025-66221Werkzeug是Python生态中广泛使用的WSGI Web应用库。在3.1.4之前的版本中存在路径遍历漏洞，源于safe_join函数对Windows特殊设备名称处理不当。该函数允许路径段包含CON、AUX等Windows保留设备名，在send_from_directory等文件服务功能中被调用。攻击者可通过构造特殊路径请求，在Windows环境下触发文件读取无限挂起，导致应用拒绝服务。此漏洞无需认证即可远程利用，但仅影响Windows部署环境。
safe_join函数本应确保文件路径在指定目录内，但其验证逻辑存在缺陷，未正确过滤Windows设备名称。当路径以NUL等特殊设备名结尾时，函数返回看似合法的路径，导致send_from_directory打开文件句柄。由于Windows设备文件读取会阻塞，应用线程将陷入等待状态，形成拒绝服务。攻击者可通过发送包含设备名的URL路径触发此条件，无需特殊权限或用户交互。