• 本文主题： 删除节点数据缺乏身份验证机制导致未经授权访问，任意客户端可发起POST请求
  • 问题描述： 在删除节点接口发现了一个缺乏身份验证的漏洞，该接口允许未经身份验证的用户进行删除节点，从而导致未经授权的访问和潜在的安全问题。
    复现步骤：
    • 使用任意 HTTP 客户端向接口发送 POST 请求，
    • URL事件：/delServer
    • 在请求中包含以下数据：
      • id: 节点id，遍历即可

      返回json：

      {
          "code": 1,
          "msg": "删除成功"
      }

    经测试，直接传参 id 即可删除节点

    影响范围：
    此漏洞可能影响系统被恶意删除节点接口，以及系统可能面临的安全风险。
    解决方案：
  • 强烈建议在添加节点接口中实施适当的身份验证机制，例如Oauth，以防止未经授权的访问！