Question

javax.faces 2.1 jar中存在一个已知的web.xml漏洞。请考虑使用以下URL重现此问题，并由客户端提供以重现此问题。

https://example.com/javax.faces.resource.../WEB-INF/web.xml.jsf (dummy URL)

但我们无法在最后重现此问题。我们尝试使用以下网址在我们的最后重现此问题。

https://<external IP>:8181/javax.faces.resource.../WEB-INF/web.xml.jsf
https://<Localhost>:8181/javax.faces.resource.../WEB-INF/web.xml.jsf
https://<Localhost>:8181/ABC/javax.faces.resource.../WEB-INF/web.xml.jsf

请注意，部署的应用程序结构在两端都是相同的。

因此，任何早期帮助重现此问题都将受到高度赞赏，因为这个问题是高优先级问题。

提前致谢

Answer 1

这是javax.faces 2.1 jar的一个非常常见的问题，它面向各种Web应用程序。但是，在下面1）中，通过将多少../../放入URL以进行路径遍历2）有时无法通过本地主机或ip（内联网）重现，为什么会产生多少深度？ Java面孔在这看到有什么不同吗？从理解上面来说，上述要点非常关键。如果某个机构需要时间并且解释会有所帮助。

如何重现JSF web.xml漏洞

1 个答案: