天闻数媒名师工作室系统 fileTempDownload 存在文件读取漏洞(DVB-2025-8998)

免责声明

本文所描述的漏洞及其复现步骤仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

0x01 产品介绍

天闻数媒名师工作室系统是一个专为教育领域设计的数字化平台，旨在汇聚优秀教师资源，促进教学经验分享与专业成长。该系统通过线上协作、资源共享、课程开发等功能，帮助名师团队高效开展教研活动，提升教学质量。教师可以在平台上创建个性化工作室，发布教学案例、微课视频等资源，并与同行互动交流，推动教育创新与优质教育资源的广泛传播。

0x02 漏洞描述

天闻数媒名师工作室系统的 fileTempDownload 功能模块存在文件读取漏洞，该漏洞可能导致未经授权的用户通过构造特定请求，读取服务器上的敏感文件内容。攻击者可能利用此漏洞获取系统配置文件、用户数据或其他机密信息，进而对系统安全构成威胁。建议及时修复漏洞，加强文件路径验证和权限控制，以确保系统数据的安全性和用户隐私的保护。

0x03 复现环境

body=“/static/js/bootstrap/bootstrap.css”