cve-2026-21440-writeup-poc

cve-2026-21440 @adonisjs/bodyparser 中的路径遍历导致任意文件写入 概述 @adonisjs/bodyparser 包中存在一个严重的路径遍历漏洞，允许远程攻击者在预期上传目录之外写入任意文件。当调用 multipartfile.move 函数时，如果没有显式提供经过清理的文件名，解析器会默认使用客户端提供的文件名，且未进行适当的清理。 由于实现使用了 path.join 且 options.overwrite 默认为 true，攻击者可以构造包含目录遍历序列的恶意文件名（例如...