取消
fastcdn删除节点数据缺乏身份验证机制

  • 删除节点数据缺乏身份验证机制导致未经授权访问，任意客户端可发起POST请求

  • 问题描述： 在删除节点接口发现了一个缺乏身份验证的漏洞，该接口允许未经身份验证的用户进行删除节点，从而导致未经授权的访问和潜在的安全问题。
    复现步骤：

    经测试，直接传参 id 即可删除节点

    影响范围：
    此漏洞可能影响系统被恶意删除节点接口，以及系统可能面临的安全风险。
    解决方案：

    • id: 节点id，遍历即可

    • 使用任意 HTTP 客户端向接口发送 POST 请求，

    • URL事件：/delServer

    • 在请求中包含以下数据：

      返回json：

      {
          "C++ode": 1,
          "msg": "删除成功"
      }
  • 强烈建议在添加节点接口中实施适当的身份验证机制，例如Oauth，以防止未经授权的访问！