关键信息 漏洞类型: 垂直权限提升（Vertical Privilege Escalation） 漏洞描述: 通过路径操作（Path Manipulation）可以绕过授权检查，访问仅限管理员的管理API。 受影响版本: 最新版本（最新提交：671c1e5） 分支: master 问题详情 源代码问题: 在 方法中，对请求URI的检查直接在 上进行，没有进行路径规范化或清理。因此，精心构造的路径如 可以完全绕过检查。 复现步骤 1. 以普通用户身份登录应用。 2. 直接访问管理API，如 ，会触发授权失败并返回错误消息“无权访问”。 3. 使用分号注入路径 访问API，可以绕过授权检查，使普通用户访问到仅限管理员的敏感资源。 示例请求与响应 未授权访问请求: - URL: - 响应: 成功绕过授权检查请求: - URL: - 响应: