CVE-2026-40062Ziostation2 v2.9.8.7及更早版本中存在路径遍历漏洞。该漏洞源于软件未能正确验证用户输入,导致未经身份验证的远程攻击者能够利用特制请求遍历服务器目录。攻击者无需用户交互即可获取操作系统上的敏感信息,可能导致数据泄露,严重威胁系统安全。
该漏洞属于典型的路径遍历(Path Traversal)漏洞。在Ziostation2的特定功能接口中,程序未对用户提交的参数(如文件路径、文件名)进行严格的合法性校验和路径规范化处理。攻击者可以通过网络(AV:N)向目标服务器发送包含特殊字符(如'../')的恶意HTTP请求。由于无需认证(PR:N)且无需用户交互(UI:N),攻击者可利用该漏洞绕过Web根目录限制,直接读取服务器文件系统中的任意文件。虽然该漏洞不影响完整性和可用性,但直接导致高机密性风险(C:H),攻击者可借此获取系统配置文件、源代码或其他敏感数据,为后续攻击提供情报支持。