漏洞总结 漏洞概述 标题: Security: Fix file upload authentication enforcement (#4381) 类型: 文件上传认证绕过 (Authentication Bypass) 描述: 在 项目中，当配置允许匿名 ( ) 时，系统未能正确验证文件上传请求的身份认证。攻击者可以在未登录的情况下上传文件，导致匿名文件上传功能被滥用。 影响范围 受影响组件: 触发条件: 当系统设置 为 时。 后果: 允许未认证用户通过 API 上传文件，可能导致存储资源耗尽或恶意文件上传。 修复方案 1. 逻辑修正: 在 中新增 方法。该方法检查请求路径是否包含文件上传关键字（如 或 ），如果是，则强制要求认证，即使 设置为 。 2. 代码变更: 在 动作中，将 的调用逻辑修改为基于 的结果。 * 在 中增加对 键的验证。 POC/利用代码 (基于测试用例提取) 以下代码展示了在 为 的情况下，未携带认证 Token 发起文件上传请求的测试用例（即漏洞利用场景）：