| Title | 曲靖蜂信科技有限公司 FastBee v2.1.0 and earlier Arbitrary File Read via Path Traversal |
|---|
| Description | 工具下载接口 /iot/tool/download 位于匿名放行列表（无需登录），服务端对下载文件名的路径穿越校验被注释禁用。攻击者构造路径穿越序列可读取 uploadPath 目录所在盘符上的任意文件（配置/源码/密钥/上传物），实现未授权任意文件读取。已在本地授权环境实测读取 uploadPath 目录之外的文件内容。 |
|---|
| Source | ⚠️ https://gitee.com/x0n1on/fastbee/issues/IKIULX |
|---|
| User | 0n1on (UID 100116) |
|---|
| Submission | 09/29/2026 04:18 (1 month ago) |
|---|
| Moderation | 10/25/2026 09:27 (26 days later) |
|---|
| Status | Duplicate |
|---|
| VulDB entry | 360829 [kerwincui FastBee up to 1.2.1 Tool Download Endpoint ToolController.java ToolController.download fileName path traversal] |
|---|
| Points | 0 |
|---|