检测

CGI 脚本环境变量泄露

medium Web App Scanning 插件 ID 115467

语言：

简介

CGI 脚本环境变量泄露

描述

Web 服务器通常随附测试和诊断 CGI 脚本，例如“printenv.pl”或“test-cgi”，它们在响应正文中打印 CGI 进程的环境。当生产服务器上保留这类脚本可用时，未经认证的远程攻击者便可检索 Web 服务器的环境变量，这会泄露文件系统上的文档根和脚本路径、Web 服务器软件及其版本、内部 IP 地址和服务器管理员的电子邮件地址。环境还可能包含由应用程序或托管平台设置的变量，例如数据库连接字符串、API 密钥或其他机密，从而允许攻击者危害应用程序或对底层基础设施进行进一步攻击。

解决方案

从 Web 服务器删除检测到的测试 CGI 脚本。如果诊断目的需要它，请通过要求认证或应用 IP 源筛选来确保其不可公开可用。

另见

https://www.rfc-editor.org/rfc/rfc3875#section-4.1

插件详情

严重性: Medium

ID: 115467

类型: Check Based

发布时间: 2026/9/8

最近更新时间: 2026/9/8

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 5.5

百分位: 0

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: Medium

基本分数: 5.3

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVSS 分数来源: Tenable

CVSS v4

风险因素: Medium

Base Score: 6.9

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

CVSS 分数来源: Tenable

参考资料信息