漏洞概览 提交者：sh7err@vEcho 影响的组件： - 项目：mogu_blog_v2 - 供应商：moxi159753 - 影响的端点： - /storage/initStorageSize - /storage/editStorageSize - 影响的文件： - mogu_picture/src/main/java/com/moxi/mogublog/picture/restapi/StorageRestApi.java (lines 40-55) - mogu_picture/src/main/java/com/moxi/mogublog/picture/service/impl/StorageServiceImpl.java (lines 59-94) - mogu_picture/src/main/java/com/moxi/mogublog/picture/config/WebSecurityConfig.java (lines 50-55) 漏洞详情 根本原因 1. 缺少身份验证 2. 缺少授权检查 3. 客户端控制的管理用户ID 4. 没有身份验证 攻击向量 发送未经身份验证的POST请求到 或 概念验证 拒绝服务攻击 - 将存储配额设置为零 未经授权的扩展 初始化攻击 影响 严重性：高 1. 拒绝服务 2. 未经授权的资源分配 3. 业务逻辑绕过 4. 数据完整性破坏 5. 服务中断 影响的版本 所有当前存储库中的mogu_blog_v2版本都受到影响。 建议 1. 要求身份验证 2. 添加授权检查 3. 使用经过身份验证的身份 4. 实施基于角色的访问控制 5. 添加审核日志 6. 输入验证 参考文献 仓库：https://gitee.com/moxi159753/mogu_blog_v2 CWE-862：缺少授权 CWE-639：通过用户控制的密钥进行授权绕过 OWASP：访问控制错误