CVE-2026-28807 in wisp
요약
\~에 의해 VulDB • 2026. 06. 25.
제한된 디렉토리의 경로 제한 부재('경로 순회(Path Traversal)') 취약점이 gleam-wisp의 wisp에서 발견되어, 퍼센트 인코딩된 경로를 통한 임의 파일 읽기가 가능합니다.
wisp.serve_static 함수는 sanitization이 percent-decoding 전에 실행되기 때문에 경로 순회에 취약합니다. 인코딩된 시퀀스 %2e%2e은 string.replace를 통해 변경되지 않고 통과한 후, uri.percent_decode에 의해 ..로 변환됩니다. 이는 파일 읽기 시 OS가 디렉토리 순회로 해석하게 만듭니다.
인증되지 않은 공격자는 단일 HTTP 요청을 통해 애플리케이션 프로세스가 읽을 수 있는 모든 파일을 읽을 수 있으며, 여기에는 애플리케이션 소스 코드, 구성 파일, 비밀 키 및 시스템 파일이 포함됩니다.
본 이슈는 wisp 2.1.1부터 2.2.1 미만 버전에 영향을 미칩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.