漏洞总结 漏洞概述 该提交修复了 Twilio Voice Call 插件中 Webhook 处理逻辑的安全隐患。之前的实现允许在验证请求签名之前读取请求体(Body),且旧的限制较为宽松(1 MB / 30秒)。这可能导致拒绝服务(DoS)攻击,攻击者可以通过发送大量未经验证的大体积请求来耗尽服务器资源。 影响范围 涉及 插件的 Webhook 处理逻辑( )。 修复方案 1. 调整验证顺序:在读取请求体(Body)之前,先验证请求头中的签名(Signature Headers)。如果签名验证失败或缺少签名,直接拒绝请求(返回 401),不再读取 Body。 2. 收紧资源限制:将预认证阶段(Pre-auth)的请求体大小预算从 1 MB 降至 64 KB,超时时间从 30 秒降至 5 秒。 3. 限制并发请求:限制每个源 IP 地址的并发预认证请求数量,防止未经身份验证的调用者通过大量请求强制触发旧的缓冲路径。 关键代码逻辑 (来自 )