睿贝外贸ERP /getPictureByType.action 文件读取漏洞

睿贝外贸ERP是杭州睿贝软件面向外贸企业开发的管理系统，覆盖订单、客户、采购、库存与财务等外贸核心业务环节，常部署于企业与云上环境。其 /getPictureByType.action 接口在按文件名返回文件内容时未对文件名参数做路径校验与目录限制，未认证攻击者可直接传入绝对路径或目录穿越序列，读取服务器上 Web 目录之外的任意文件（如配置文件、数据库数据文件），导致敏感信息泄露，官方已发布修复版本。