漏洞总结:IDOR: PERM_EDIT_USERS allows modifying any user's notification subscriptions (CVE-2025-48472) 漏洞概述 这是一个越权访问(IDOR)漏洞。拥有 权限的用户(如普通编辑者),可以通过发送 POST 请求修改任何用户(包括管理员)的通知订阅设置。 根本原因: 接口复用了 策略,该策略仅检查调用者是否拥有 权限,而未检查被修改对象( )是否为当前用户。 关联漏洞:这是 CVE-2025-48472 的变体,原漏洞修复了其他端点,但遗漏了此代码路径。 影响范围 受影响版本: 严重程度:Moderate (3.4 / 10) 具体影响: 攻击者可静默禁用管理员的邮件/浏览器/移动通知。 导致安全警报、对话分配、邮箱事件等关键通知丢失。 造成运营中断和防御深度降级。 修复方案 1. 短期修复:在 方法中强制实施“仅本人访问”检查,除非调用者是管理员。 2. 长期修复:拆分 为 、 、 ,并审计所有授权调用点。 POC / 利用代码 页面中提供了完整的复现步骤和代码: 1. 环境准备与登录 2. 数据库观察(验证) 3. 建议的代码修复补丁