[localhost-now] Path Traversal allows to read content of arbitrary file
该报告还没有中文解读。
原文摘录
摘自原文（2492 字符中的一小部分）
There is Path Traversal in localhost-now module. It allows to read content of arbitrary files on the remote server.
原文中的代码
// node_modules/localhost-now/lib/app.js, line 10:
var url = req.url;
if (url.indexOf('?') != -1) {
url = url.split('?')[0];
}
var file = url === "/" ? "/index.html" : url;
fs.readFile(path.normalize(process.cwd()) + file, function(err, data) {
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Node.js third-party modules 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @bl4de · 版权归作者与 Node.js third-party modules 所有