远程未授权访问漏洞（CVE-2024-23692）

===================================

漏洞原理： HFS 在处理 HTTP 响应时使用了默认模板，其中包含了来自请求的搜索查询参数。由于这些参数未被正确转义，导致服务器端模板注入（SSTI）漏洞的产生。攻击者可以通过精心构造的请求，利用未转义的符号和宏，注入任意命令并在服务器上执行。

危害： 成功利用该漏洞的攻击者可以在受影响的服务器上执行任意代码，可能导致以下后果：

• 数据泄露： 攻击者可能访问或窃取敏感信息。

• 数据篡改： 攻击者可能修改或删除重要数据。

• 服务中断： 攻击者可能导致服务器崩溃或拒绝服务。

• 恶意软件部署： 攻击者可能在服务器上安装恶意软件，如勒索软件或挖矿程序。

由于 HFS 2.3m 版本已不再受官方支持，建议用户升级至 HFS 3.x 版本以避免受到该漏洞的影响。