一、 漏洞 CVE-2006-3392 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
在Webmin 1.290之前和Usermin 1.220之前，Webmin调用了 simplify_path 函数在解码HTML之前，这允许远程攻击者读取任意文件，可以使用“..%01”序列，该序列绕过在将诸如 "%01" 这样的字节从文件名中删除之前移除 "../" 序列的删除操作。注意：这与CVE-2006-3274是不同的问题。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Webmin before 1.290 and Usermin before 1.220 calls the simplify_path function before decoding HTML, which allows remote attackers to read arbitrary files, as demonstrated using "..%01" sequences, which bypass the removal of "../" sequences before bytes such as "%01" are removed from the filename. NOTE: This is a different issue than CVE-2006-3274.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Webmin/Usermin未明信息泄露漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Webmin 1.290之前版本和Usermin 1.220之前版本在解码HTML之前调用simplify_path 函数，可以使远程攻击者读取任意文件，比如使用"..%01"序列，该序列可在从文件名中删除诸如"%01"等字节之前绕过"../" 序列的删除。注： 此漏洞不同于CVE-2006-3274。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2006-3392 的公开POC
# POC 描述 源链接 神龙链接
1 Webmin < 1.290 / Usermin < 1.220 - Arbitrary File Disclosure (Python3) https://github.com/0xtz/CVE-2006-3392 POC详情
2 This small script helps to avoid using MetaSploit (msfconsole) during the Enterprise pentests and OSCP-like exams. Grep included function will help you to get only the important information. https://github.com/IvanGlinkin/CVE-2006-3392 POC详情
3 It is a simple tool to exploit local file include . vulnerabilities https://github.com/Adel-kaka-dz/CVE-2006-3392 POC详情
4 Python script to exploit webmin vulnerability cve-2006-3392 https://github.com/gb21oc/ExploitWebmin POC详情
5 Webmin Local File Include (unauthenticated) https://github.com/kernel-cyber/CVE-2006-3392 POC详情
6 Webmin < 1.290 / Usermin < 1.220 - Arbitrary file disclosure https://github.com/g1vi/CVE-2006-3392 POC详情
7 None https://github.com/MrEmpy/CVE-2006-3392 POC详情
8 None https://github.com/brosck/CVE-2006-3392 POC详情
三、漏洞 CVE-2006-3392 的情报信息