关键信息 漏洞类型 CWE-327: 使用破损或有风险的加密算法漏洞 影响版本 多个版本的XXL-JOB，包括最新版本 漏洞描述 问题核心: cookie通过十六进制转换包含管理员用户信息（uid、用户名、密码哈希（md5）、角色ID和权限信息）。 风险: 如果攻击者通过任何手段获取到管理员的cookie，就相当于获得了对这些敏感管理员信息的访问。 技术细节 代码位置: 关键函数: - : 登录过程中生成token的逻辑。 - : 创建token的方法，使用了不安全的加密方式。 - : 解析token的方法，直接将十六进制转换为字符串，从而泄露账户信息。 POC (概念验证) Admin账户的cookie示例: Java代码示例: 影响 Cookie以明文十六进制形式包含管理员凭证，如果被拦截，可导致完整的账户接管和未经授权的系统访问。