漏洞总结:Web API 管道加载与请求验证加固 漏洞概述 该漏洞涉及本地 Web UI/API 控制面板的安全边界问题。攻击者可以通过浏览器可访问的 API 端点,利用 字段和 以外的内容类型,触发对本地文件系统上任意 Python 管道文件( )的加载和执行。 影响范围 高危影响:Web API 接受 并加载本地 管道文件。这允许浏览器可访问的本地控制面板触发执行任意本地 Python 管道文件。 中危影响:Web API 接受非 内容类型用于运行创建/验证。这扩大了浏览器驱动的本地主机控制平面滥用攻击面。 修复方案 1. 默认拒绝:默认禁用 功能,并在 和 端点强制要求 内容类型。 2. 显式开启:通过环境变量 显式开启受信任的本地操作符路径加载功能。 3. 代码变更: 在 中添加 JSON 强制检查和默认拒绝逻辑。 在 中添加回归测试。 更新 和 文档。 POC 代码与利用代码 利用代码 (Exploit Code): 安全复现步骤 (Safe Reproduction Steps): 1. 默认拒绝 pipeline_path 2. JSON 强制要求 3. 显式信任开启**