MailBee WebMail Pro本地文件包含漏洞

受影响版本:AfterLogic MailBee WebMail Pro
描述:
MailBee WebMail Pro是一款基于ASPX的WEB应用程序。
MailBee WebMail Pro不正确过滤用户提交的URI数据，远程攻击者可以利用漏洞以WEB权限查看系统文件内容。
问题是由于'download_view_attachment.aspx'脚本对用户提交的'temp_filename'参数处理缺少充分过滤，提交多个"../"字符作为参数数据，可绕过WEB ROOT限制，以WEB权限查看系统文件内容.

测试方法:

http://www.example.com/webmail-pro-net/download_view_attachment.aspx?temp_filename=../../../../../../../../../../../../../../../../../../boot.ini