CVE-2025-56427 - ComposioHQ 目录遍历信息泄露
概述
CVE-2025-56427 是 ComposioHQ v.0.7.20 版本中的一个目录遍历漏洞，允许远程攻击者通过 _download_file_or_dir 函数获取敏感信息。
评级：0.0 (NA)
漏洞描述
ComposioHQ v.0.7.20 中的目录遍历漏洞允许远程攻击者通过 _download_file_or_dir 函数获取敏感信息。
类型：信息泄露
发布时间：2025年12月4日 下午4:16 最后修改时间：2025年12月4日 下午5:15 可远程利用：否 来源：cve@mitre.org
受影响产品
目前尚未记录受影响的具体产品。
解决方案
- 应用供应商补丁：修复 ComposioHQ v.0.7.20 中的目录遍历问题。
- 更新版本：将 ComposioHQ 更新至最新版本。
- 应用安全补丁：应用供应商提供的安全补丁。
- 限制文件访问控制：加强文件访问权限控制。
- 审查文件处理函数：对文件处理函数进行安全审查。
参考资料与工具
以下是与 CVE-2025-56427 相关的深度信息、实用解决方案和有价值工具的链接：
| URL | 资源描述 |
|---|---|
| https://github.com/ComposioHQ/composio/blob/master/python/composio/server/api.py#L278 | 漏洞相关代码位置 |
| https://github.com/TOAST-Research/pocs/blob/main/composio/composio_1.md | 概念验证（PoC） |
CWE - 常见缺陷枚举
CVE-2025-56427 与以下 CWE 类别关联：
- 路径遍历
漏洞评分详情
暂无此漏洞的 CVSS 评分指标。
漏洞时间线
- 2025年12月4日：cve@mitre.org 收到新的 CVE 报告。
- 操作: 添加
- 类型: 描述
- 新值: Directory Traversal vulnerability in ComposioHQ v.0.7.20 allows a remote attacker to obtain sensitive information via the _download_file_or_dir function.
- 2025年12月4日：添加了两个参考链接（同上表参考资料）。