目录列表公开访问漏洞报告

漏洞概述

Web服务器配置为显示目录中包含的文件列表。这种做法不被推荐，因为目录可能包含通常不通过网站链接公开的文件。

漏洞详情

报告ID: #2311179
报告时间: 2024年1月10日 14:55 UTC
报告者: farhad0x1
状态: 已解决
严重程度: 中等 (5.3)

概念验证

链接作为概念验证： https://portal.nextcloud.com/assets/

影响分析

暴露目录内容可能导致：

• 攻击者获取源代码访问权限
• 为攻击者制定利用方案提供有用信息（如文件创建时间、文件名中编码的任何信息）
• 可能泄露私有或机密数据
• 目录列表可能危及私人或机密数据

处理时间线

2024年1月10日 14:55 UTC

• 报告提交至Nextcloud
• Bot回复：感谢报告此潜在问题，安全团队将尽快查看此问题

2024年1月10日 15:03 UTC

• nickvergessen（Nextcloud员工）将状态更改为"已分类"
• 初步评估：文件用于公共下载

2024年3月11日 15:21 UTC

• nickvergessen关闭报告并将状态改为"已解决"
• 解决方案：目录列表已被禁用，但文件本身在此刻并不敏感，因此仍可通过直接链接访问

奖励决定

Nextcloud决定此报告不符合赏金资格，资源不符合货币奖励条件。

披露信息

• 披露请求: 2025年8月30日 15:53 UTC
• 披露时间: 2025年9月29日 15:53 UTC
• 弱点类型: 通过目录列表的信息暴露
• CVE ID: 无