GitHub 安全公告总结：genealogy 漏洞 漏洞概述 这是一个关键的身份验证绕过（Broken Access Control）漏洞，存在于 包中。该漏洞允许任何经过身份验证的用户将任意非团队成员的所有权转移给自己。这导致攻击者可以接管其他用户的团队工作区，并访问与受妥协团队关联的所有 genealogy 数据。 CVE ID: CVE-2025-39355 CVSS 评分: 10.0 / 10 (Critical) 影响范围 受影响版本: 5.9.0 修复版本: 5.9.1 受影响对象: 任何经过身份验证的用户和团队。 技术细节与代码分析 1. 相关路由注册 (Relevant route registration): 2. 存在漏洞的控制器逻辑 (Relevant vulnerable controller logic): 位于 第 21-82 行。 漏洞逻辑分析: 方法仅验证 是否存在为用户记录，随后便直接覆盖团队所有者。它未执行以下验证： 验证请求者是否为目标团队的当前所有者。 验证请求者是否为团队成员。 验证新成员是否为团队成员。 强制执行与其他应用部分相同的所有权保护（通过基于策略的 jetstream 操作）。 PoC 说明: > PoC details intentionally omitted from this advisory draft to avoid publishing a ready-to-use account takeover procedure. Based on the provided report, the issue can be reproduced by authenticating as a normal user and sending a direct ownership-transfer request for a team the user does not own, setting the attacker-controlled account as the new owner. If successful, the attacker gains control of the victim team and its data. 修复方案 将 包升级到 5.9.1** 版本。