漏洞总结：HKUDS/OpenHarness 网关斜杠命令安全加固 漏洞概述 该 Pull Request 修复了 OpenHarness 网关斜杠命令中的两个已验证的安全漏洞： 1. 权限提升：远程用户可通过聊天界面调用本地仅管理员可用的命令。 2. 任意文件读取： 命令可通过路径遍历读取项目内存目录之外的主机文件。 影响范围 远程斜杠命令权限模式升级：远程用户可改变本地安全边界，执行敏感管理命令。 通过 的任意文件读取：远程用户可读取主机上的任意文件（如 ）。 CVSS 评分：两个漏洞均为 High (8.6 - 8.8)。 修复方案 1. 默认拒绝：敏感管理斜杠命令在通过远程网关接收时默认被拒绝。 2. 显式启用：仅当管理员在网关配置中显式启用“远程管理员”选项，并配置允许列表时，才允许执行。 3. 日志审计：启用远程管理命令时，会发出警告级别日志和启动警告。 4. 路径安全： 命令现在安全地解析目标，并在读取前强制实施项目内存目录的包含性检查，防止路径遍历。 5. 回归测试：新增测试覆盖默认拒绝、信任启用和遍历拒绝行为。 受影响代码文件 安全复现步骤 (POC) 1. 远程斜杠命令权限模式升级 2. 通过 的任意文件读取 预期脆弱行为 远程用户应无法默认通过聊天切换权限模式。 不应读取项目内存目录之外的文件。