漏洞总结 漏洞概述 漏洞编号: #860 漏洞类型: 身份验证绕过 + 默认允许所有权限的RBAC(基于角色的访问控制) 严重程度: 高危 描述: 修复了一个3步漏洞链,该漏洞链允许未授权/提权访问管理接口 影响范围 影响所有未正确分类的API方法 攻击者可以通过无效令牌或过期令牌绕过身份验证 未分类的方法默认返回可写角色(admin/write/read) 多个敏感方法未包含在允许列表中,通过默认允许策略被跳过 修复方案 1. 身份验证修复: 拒绝无效令牌,即使令牌存在但已过期 2. 默认拒绝策略: 未分类的方法现在默认为"拒绝"而非"允许" 3. 方法分类: 将敏感方法明确分类为admin/write/read权限 4. 额外加固: - 移除isWriteMethod前缀回退 - 使用精确的allowlist防止静默范围蔓延 - 添加Phase-3方法(TTS、浏览器、Zalo、WhatsApp)到admin/write/read权限分类 - 在路由器调度器中删除空MethodRole 关键代码变更 身份验证修复 (router.go) 默认拒绝策略 (policy.go) 方法分类 (policy.go) 写入方法分类 (policy.go)