HTTP 漏洞列表

ACME mini_httpd before 1.30 is vulnerable to local file inclusion.

muhttpd（mu-HTTP-deamon）是一个简单但完整的web服务器，用可移植的ANSI C编写。它支持静态页面、CGI脚本、基于MIME类型的处理程序和HTTPS。它在接受任何连接之前放弃特权，并且可以记录接收到的请求。它已经在GNU/Linux、NetBSD、FreeBSD、Mac OS X和Cygwin上进行了测试。它在32位和64位、小端和大端系统上成功运行。 muhttpd 1.1.7之前版本存在安全漏洞。攻击者利用该漏洞读取系统任意文件 "2017 ARRIS Enterprises,"

nhttpd in Nostromo before 2.1 is vulnerable to a path traversal that may allow an attacker to execute arbitrary commands on the remote server. The vulnerability occurs when the homedirs option is used.

aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. When using aiohttp as a web server and configuring static routes, it is necessary to specify the root path for static files. Additionally, the option 'follow_symlinks' can be used to determine whether to follow symbolic links outside the static root directory. When 'follow_symlinks' is set to True, there is no validation to check if reading a file is within the root directory. This can lead to directory traversal vulnerabilities, resulting in unauthorized access to arbitrary files on the system, even when symlinks are not present. Disabling follow_symlinks and using a reverse proxy are encouraged mitigations. Version 3.9.2 fixes this issue.

fofa: "HttpFileServer" Rejetto HTTP文件服务器，直到并包括2.3m版本，都存在模板注入漏洞。此漏洞允许远程、未经认证的攻击者通过发送特制的HTTP请求在受影响的系统上执行任意命令

华天动力 MyHttpServlet 任意文件上传 Fofa: body="/OAapp/WebObjects/OAapp.woa" || body="/OAapp/htpages/app"

华为Auth-Http Server 1.0存在任意文件读取，攻击者可通过该漏洞读取任意文件。 Fofa: server="Huawei Auth-Http Server 1.0"

金和OA C6 XmlHttp.aspx接口处存在SQL注入漏洞和XXE漏洞，攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。

SRS is a simple, high-efficiency, real-time video server. SRS's `/api/v1/vhosts/vid-<id>?callback=<payload>` endpoint didn't filter the callback function name which led to injecting malicious javascript payloads and executing XSS ( Cross-Site Scripting). This vulnerability is fixed in 5.0.210 and 6.0.121.

Cherokee HTTPD 0.5 and earlier contains a cross-site scripting vulnerability which allows remote attackers to inject arbitrary web script or HTML via a malformed request that generates an HTTP 400 error, which is not properly handled when the error message is generated.

A SQL injection vulnerability in mod_mysql_vhost.c in lighttpd before 1.4.35 allows remote attackers to execute arbitrary SQL commands via the host name (related to request_check_hostname).

Apache httpd 2.4.0 to 2.4.29 is susceptible to arbitrary file upload vulnerabilities via the expression specified in <FilesMatch>, which could match '$' to a newline character in a malicious filename rather than matching only the end of the filename. This could be exploited in environments where uploads of some files are externally blocked, but only by matching the trailing portion of the filename.

Cybrotech CyBroHttpServer 1.0.3 is vulnerable to local file inclusion in the URI.

ACME mini_httpd before 1.30 is vulnerable to local file inclusion.

Apache HTTP Server versions 2.4.0 through 2.4.39 are vulnerable to a limited cross-site scripting issue affecting the mod_proxy error page. An attacker could cause the link on the error page to be malformed and instead point to a page of their choice. This would only be exploitable where a server was set up with proxying enabled but was misconfigured in such a way that the Proxy Error page was displayed.

In Apache HTTP server 2.4.0 to 2.4.39, Redirects configured with mod_rewrite that were intended to be self-referential might be fooled by encoded newlines and redirect instead to an unexpected URL within the request URL.

Apache HTTP Server 2.4.32 to 2.4.44 contains an info disclosure and possible remote code execution caused by a vulnerability in mod_proxy_uwsgi, letting remote attackers access sensitive information and potentially execute arbitrary code, exploit requires sending crafted requests.

aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. When using aiohttp as a web server and configuring static routes, it is necessary to specify the root path for static files. Additionally, the option 'follow_symlinks' can be used to determine whether to follow symbolic links outside the static root directory. When 'follow_symlinks' is set to True, there is no validation to check if reading a file is within the root directory. This can lead to directory traversal vulnerabilities, resulting in unauthorized access to arbitrary files on the system, even when symlinks are not present. Disabling follow_symlinks and using a reverse proxy are encouraged mitigations. Version 3.9.2 fixes this issue.

This vulnerability allows a remote, unauthenticated attacker to execute arbitrary commands on the affected system by sending a specially crafted HTTP request.

SSRF in Apache HTTP Server on Windows allows to potentially leak NTML hashes to a malicious server via SSRF and malicious requests or content Users are recommended to upgrade to version 2.4.60 which fixes this issue. Note- Existing configurations that access UNC paths will have to configure new directive "UNCList" to allow access during request processing.

Encoding problem in mod_proxy in Apache HTTP Server 2.4.59 and earlier allows request URLs with incorrect encoding to be sent to backend services, potentially bypassing authentication via crafted requests.

muhttpd 1.1.5 and before are vulnerable to unauthenticated local file inclusion. The vulnerability allows retrieval of files from the file system.

明源ERP VisitorWeb_XMLHTTP.aspx 存在SQL注入漏洞，攻击者进而利用此漏洞获取数据库敏感信息。

Microsoft HTTP.sys是美国微软（Microsoft）公司的一个应用协议。HTTP应用协议。 Microsoft HTTP.sys存在资源管理错误漏洞。攻击者利用该漏洞导致系统拒绝服务。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows Server 2025 (Server Core installation),Windows 11 Version 23H2 for ARM64-based Systems,Windows 11 Version 23H2 for x64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation),Windows 11 Version 24H2 for ARM64-based Systems,Windows 11 Version 24H2 for x64-based Systems,Windows Server 2025,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems。

PUT方法是HTTP协议中的一种请求方法，通常用于向服务器上传文件或创建新资源，然而，如果服务器没有正确验证或眼制对PUT方法的访问权限，攻击者可以构造恶意的PUT请求，将恶意文件上传到服务器上，进而执行任意代码或者破坏目标系统的完整性。

xApache HTTP Server存在认证绕过漏洞，该漏洞是由于resource接口对用户的权限校验不当导致的。

Aiohttp 是一款开源的用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。Aiohttp 存在目录遍历漏洞，此漏洞是由于应用程序读取文件时对文件位置校验不严格导致的。

微软HTTP.sys中存在远程代码执行漏洞，该漏洞是由于HTTP协议栈在处理HTTP消息时存在问题导致的。

Rejetto HTTP File Server存在服务器端模板注入漏洞，此漏洞是由于程序未充分验证用户输入的url数据导致的。

Apache httpd中存在目录遍历漏洞，此漏洞是由于对URI中路径的验证不当造成的。

Apache HTTP Server 解释冲突

go-retryablehttp是HashiCorp开源的一个 Go 中的可重试 HTTP 客户端。 Hashicorp go-retryablehttp 0.7.7之前版本存在安全漏洞，该漏洞源于在将 URL 写入日志文件时未对其进行清理，导致将敏感的 HTTP 基本身份验证凭据写入日志文件。

Rejetto HTTP File Server（Rejetto HFS）是Rejetto公司的一款 HTTP 文件服务器。Rejetto HTTP FileServer 2.3m及之前版本存在安全漏洞，该漏洞源于存在模板注入漏洞。

Squid存在缓冲区溢出漏洞。当 Squid 配置为接受 HTTP Digest身份验证时，远程攻击者可以通过向内存写入2 MB 的任意数据来执行缓冲区溢出攻击。

CuteHttpFileServer/chfs是一个免费的、HTTP协议的文件共享服务器，CuteHttpFileServer存在任意文件下载漏洞，攻击者可通过该漏洞获取服务器敏感文件信息

HTTP代理服务器是用来在用户和Internet之间提供中介服务的服务器。用户首先连接到代理服务器，然后请求其访问Internet上的其他服务器或下载信息。由于HTTP代理服务器能够控制用户的所有请求，怀有恶意的管理员或者攻击者拥有进入代理服务器的权限后，可以实施各种攻击。 如果HTTP代理服务器的管理员账号和密码设置得过于简单，例如使用了默认的账号密码或者过于常见的密码组合，那么攻击者有可能通过猜测或者暴力破解的方式获得管理员权限，从而在用户不知情的情况下实施攻击。

Apache HTTP Server存在拒绝服务漏洞，此漏洞是由于对窗口大小为0的HTTP2连接处理不当造成的。

Http File Server存在缓冲区溢出漏洞。

Apache HTTP Server存在拒绝服务漏洞，此漏洞是由于对窗口大小为0的HTTP2连接处理不当造成的。

Node.js中存在一个HTTP请求走私漏洞，该漏洞是由于传入请求中HTTP头字段的分隔符不当造成的。

Apache httpd 中存在拒绝服务漏洞。此漏洞是由于应用程序对 mod_sed 模块的输入验证不当造成的。

Node.js中存在拒绝服务漏洞。漏洞是有缺陷版本的nghttp2对来自客户端的ALTSVC帧处理不当造成的。

aiohttp是一个用于asyncio和Python的异步HTTP客户端/服务器框架，aiohttp存在目录遍历漏洞，攻击者可利用该漏洞获取敏感信息。

Lighttpd存在拒绝服务漏洞，此漏洞是由于mod_extforward插件对URL的处理不当造成的。

Lighttpd connection_read_header_more 存在拒绝服务漏洞。

微软HTTP协议栈中存在远程代码执行漏洞。

微软HTTP协议栈中存在远程代码执行漏洞。

Rebuild是一个高度可定制化的企业管理系统。 Rebuild 3.5.5 及之前版本存在信息泄露漏洞，该漏洞源于/filex/proxy-download的QiniuCloud.getStorageFile函数存在安全问题，通过参数 url 导致信息泄露。

当网站开启目录浏览功能时，它允许浏览者直接浏览和查看网站的目录结构以及目录中的文件内容。这样的功能可以提供一种方便的方式来探索和访问网站上的文件。由于服务器配置不当引起的安全漏洞如果服务器没有设置默认索引文件或手动启用了目录浏览功能，攻击者就能够通过该漏洞获得服务器上目录的完整列表，并有可能访问到敏感文件，如备份文件、数据库文件、源代码等。这种情况下，攻击者可以利用目录浏览漏洞泄露大量敏感信息。

雄迈（Xiongmai），全称Hangzhou Xiongmai Technology Co.,Ltd.，是一家总部位于中国杭州的高科技公司。熊迈专注于视频监控产品的研发、制造和销售，并成为全球领先的视频监控设备供应商之一。 XiongMaiuc-httpd 具有目录遍历功能，允许通过“GET ../”HTTP 请求读取任意文件。

PUT方法是HTTP协议中的一种请求方法，通常用于向服务器上传文件或创建新资源。然而，如果服务器没有正确验证或限制对PUT方法的访问权限，攻击者可以构造恶意的PUT请求，将恶意文件上传到服务器上，进而执行任意代码或者破坏目标系统的完整性。

muhttpd（mu-HTTP-deamon）是一个简单但完整的web服务器，用可移植的ANSIC编写。它支持静态页面、CGI脚本、基于MIME类型的处理程序和HTTPS。它在接受任何连接之前放弃特权，并且可以记录接收到的请求。它已经在GNU/Linux、NetBSD、FreeBSD、MacOS X和Cygwin上进行了测试。它在32位和64位、小端和大端系统上成功运行。 muhttpd1.1.7之前版本存在安全漏洞。攻击者利用该漏洞读取系统任意文件

近日，Apache 发布了 Apache HTTP Server 2.4.50 版本，旨在解决Apache HTTP Server 2.4.49版本的CVE-2021-41773（Apache HTTP Server路径遍历漏洞），同时，该漏洞利用细节被公开，攻击者可以使用路径遍历攻击读取根目录之外的文件。通过路径遍历漏洞可调用bin/bash来执行任意命令，进而获取服务器权限

10 月 5 日，Apache HTTP Server 项目修补了 CVE-2021-41773，这是 Apache HTTP Server中的一个路径遍历和文件泄露漏洞，Apache HTTP Server 是一种用于 Unix 和 Windows 的开源 Web 服务器，是使用最广泛的 Web服务器之一。在 Apache HTTP Server 2.4.49 中对路径规范化所做的更改中发现了一个缺陷。攻击者可以使用路径遍历攻击将 URL映射到预期文档根目录之外的文件。

10月4日，Apache 发布了 Apache HTTP Server 2.4.50 版本，旨在解决Apache HTTP Server 2.4.49版本的CVE-2021-41773（Apache HTTP Server路径遍历漏洞），同时，该漏洞利用细节被公开，攻击者可以使用路径遍历攻击读取根目录之外的文件。研究人员发现之前的安全更新没有正确修复该漏洞，并在2.4.49和2.4.50版本中均存在漏洞。

Apache HTTP Server是美国阿帕奇（Apache）基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点。

弱口令指的是仅包含简单数字和字母的口令，因为这样的口令很容易被别人破解，从而使用户的计算机面临风险，因此不推荐用户使用。任何一种类型的漏洞，都没有弱口令来的简单、奏效。

【漏洞对象】nostromo nhttpd 【涉及版本】nostromo nhttpd 1.9.6及其之前版本 【漏洞描述】由于网络系统或产品未能正确地过滤资源或文件路径中的特殊元素，攻击者可利用该漏洞访问受限目录之外的位置，而且这个漏洞是因为对CVE-2011-0751漏洞的未完全修复导致攻击者可以利用类似 /../ 的路径格式绕过限制从而通过 /bin/sh来执行任意参数，即命令执行 。

【漏洞对象】uc_httpd 【漏洞描述】 直接访问攻击者想要的敏感数据，包括配置文件、日志、源代码等，配合其它漏洞的综合利用，攻击者可以轻易的获取更高的权限。

【漏洞对象】mini_httpd 【漏洞描述】 mini_httpd存在任意文件读取漏洞，能够读取服务器任意文件，影响版本为1.30之前所有版本。

【漏洞对象】http_basic 【漏洞描述】 该系统存在弱口令漏洞，攻击者可以登录http_basic控制台，获取敏感信息。

【漏洞对象】Ralink-HTTPD路由器 【涉及版本】OIWTECH、serioux、TOTOLINK等型号 【漏洞描述】Ralink-HTTPD多款路由器存在默认密码，攻击者可利用默认密码登录路由器管理页面，可修改路由器配置，网络配置，防火墙等恶意操作，进而控制整个设备。

【漏洞对象】HttpFileServer 【涉及版本】HttpFileServer 2.3.x 【漏洞描述】 HTTP FileServer是一款专为个人用户所设计的HTTP文件服务器，它提供虚拟档案系统，支持新增、移除虚拟档案资料夹等。 Rejetto HTTP File Server2.3c及之前版本中的parserLib.pas文件中的‘findMacroMarker’函数中存在安全漏洞，该漏洞源于parserLib.pas文件没有正确处理空字节。远程攻击者可借助搜索操作中的‘%00’序列利用该漏洞执行任意程序。

Apache HTTP Server是美国阿帕奇（Apache）软件基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点。 Apache HTTP Server 2.2.12版本至2.2.21版本中的mod_proxy_ajp模块中存在漏洞，该漏洞源于程序将工作节点放置于经一个较长的请求处理时间检测的错误状态下。远程攻击者可通过发送超长请求利用该漏洞造成拒绝服务（工作者耗尽）。

Apache HTTP Server是美国阿帕奇（Apache）软件基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点。 Apache HTTP Server的mod_proxy_balancer中存在拒绝服务漏洞。此漏洞源于在与mod_proxy_balancer结合使用时，mod_proxy_ajp对畸形HTTP请求处理时的错误。远程攻击者可通过发送特制的HTTP请求，造成后端服务器故障，直到重试超时结束后才会结束临时DoS。