靜態檔案路徑穿越

測試方法

將 v3.9.1 的脆弱檔納入聚焦 AI 審查，交由不同家族模型覆核。可下載經整理的識別紀錄；原始檔雜湊供持有原報告者比對。

模式

focused

判定

needs_human

位置

web_urldispatcher.py:666

公開識別證據摘要

StaticResource._handle 在 follow_symlinks=True 時略過目錄範圍檢查；識別位置為 web_urldispatcher.py:666。

codex：plausible。片段支援路徑穿越假設，遠端可利用性仍待驗證。

找洞模型

claude (Anthropic alias)

覆核模型與判定

codex (OpenAI alias): plausible

工具版本

Not recorded in historical report (schema v2)

模型版本

Exact model versions not recorded; aliases only

當時範圍

Single file: web_urldispatcher.py; focused deep AI review; no truncation recorded

重跑識別步驟

先安裝 Vettalon CLI，並在 config.toml 設定自己的模型與憑證。以下將單一脆弱檔放入聚焦目錄；模型與規則版本可能不同，結果不保證相同。執行 deep 模式會將檔案與上下文送到你設定的模型。這些指令用於識別測試，不會執行上游專案或驗證利用。

git clone --branch v3.9.1 --depth 1 https://github.com/aio-libs/aiohttp.git aiohttp-case
mkdir -p aiohttp-focused
cp aiohttp-case/aiohttp/web_urldispatcher.py aiohttp-focused/
vettalon scan ./aiohttp-focused --profile deep --config ./config.toml --max-modules 8 --cross-check-top 8 --report ./aiohttp-result.json --no-prior

可核對的原報告節錄

這份節錄保留原 finding 與有效覆核文字，原始報告不公開。節錄雜湊與原報告雜湊不同；人工選編不等於簽章、漏洞確認或可信執行證明。tag 行號只是公開來源參考，不是歷史來源位元組證明。

原掃描執行狀態

complete

限制與前提

識別命中不能證明可利用性或整庫召回。只在啟用特定靜態路由設定時受影響。

來源與歸屬

原始發現者與修補者請見 aiohttp 公告 Credits；Vettalon 僅做歷史識別測試。