CVE-2026-33242Salvo Web框架的salvo-proxy组件在0.39.0至0.89.2版本中存在路径遍历与访问控制绕过漏洞。由于encode_url_path函数未对“.”字符重新编码，未经认证的攻击者可利用“../”序列绕过代理路由限制，直接访问受保护的后端路径或管理后台。该漏洞无需用户交互即可远程利用，风险较高，升级至0.89.3版本可修复。
该漏洞位于Salvo框架的salvo-proxy组件，核心问题出在encode_url_path函数的实现逻辑中。正常情况下，代理应当对URL路径进行规范化处理以防止目录遍历攻击。然而，受影响版本的该函数在处理路径字符时，未对“.”字符进行重新编码，导致无法将“../”序列识别为具有特殊含义的跳转指令。攻击者利用这一缺陷，可以向代理服务器发送包含“../”的恶意HTTP请求。代理服务器未能拦截该请求，而是将其原样转发给后端上游服务器。上游服务器解析路径后，将请求导向上层目录，从而使攻击者成功绕过代理层的安全路由限制，访问到受保护的内部管理界面或敏感数据接口。