漏洞概述 漏洞类型：Broken Access Control / Privilege Escalation CWE：CWE-862: Missing Authorization CVSS：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L 描述：应用程序在管理端点上未正确执行授权检查。低权限的普通用户可以直接访问敏感的管理页面，如 和 ，而无需管理员权限。通过操纵 参数，攻击者可以访问和修改应由管理员管理的船只详情。 影响范围 受影响系统：SourceCoder Online Boat Reservation System 1.0 影响： - 低权限攻击者可以访问管理功能。 - 低权限攻击者可以修改船只信息。 - 低权限攻击者可以删除船只。 - 低权限攻击者可以添加新的船只。 - 低权限攻击者可以查看其他用户的预订。 - 低权限攻击者可以取消其他用户的预订。 - 低权限攻击者可以查看其他用户的个人信息。 - 低权限攻击者可以修改其他用户的个人信息。 - 低权限攻击者可以删除其他用户的账户。 - 低权限攻击者可以创建新的管理员账户。 修复方案 建议措施： - 确保所有管理端点都进行适当的授权检查。 - 实施基于角色的访问控制（RBAC），确保只有具有适当权限的用户才能访问管理功能。 - 对用户输入进行验证，防止通过操纵参数进行未授权访问。 - 定期审查和更新应用程序的安全策略，确保所有潜在的安全漏洞得到修复。 POC代码