漏洞存在于 download.do文件下载接口。该接口在处理 fileName 参数时未进行严格的输入校验与路径规范化,未对 `../` 目录穿越字符进行过滤,导致攻击者可通过构造 fileName`参数读取 Web 根目录之外的任意文件。

输入校验:对 fileName 参数进行严格白名单校验,禁止包含 `../`、`..\`、绝对路径等目录穿越字符; 文件访问控制:限制文件下载接口可访问的目录范围,仅允许访问指定白名单目录内的文件; 安全审计:对文件下载相关接口进行定期安全审计与渗透测试。