TSI DPDP-CMS 控制台客户端认证绕过漏洞分析

漏洞关键信息总结 漏洞概述 漏洞名称：TSI-DPDP-CMS-Client-Side-Only-Authentication-Allows-Complete-Bypass-via-Direct-HTTP-Request 主要类别：客户端强制服务端安全（CWE-602） 次要类别：关键功能缺少认证（CWE-306） 严重程度：中危（信息泄露，非关键） 报告人：VuDB，接收日期 2026-08-24 影响范围 所有 17 个 admin 和 DPO 控制台页面（ 、 ）对任意 HTTP 请求返回 200，无需服务端认证检查。 唯一的认证门是客户端 JavaScript： 该检查在浏览器中执行，且发生在页面已送达之后。任何不执行 JavaScript 的客户端（curl、wget、Python requests、Burp Suite 等）均可未认证访问这些页面，包括内部 API 端点路径、 分派表、查询参数表，以及 admin/DPO 角色路由逻辑。 根本原因： （唯一非自动强制的服务端过滤器）被映射到 的 ，任何请求路径前缀——包括每个静态控制台页面——都绕过了它，回退到默认静态文件服务。 严重程度修正：原报告将其描述为“完全绕过”，可未认证访问 admin/DPO 功能。实际上，每个 API 调用控制台页面（ 、 ）由独立认证的服务端在每个请求上执行 / ，无论页面客户端检查是否通过。无 ROP、breach、grellence 或用户数据、无 操作，可通过此问题未认证访问。实际影响是客户端应用源码（端点列表、 名称、请求模式）的泄露——归类为中危——信息泄露，非关键。 修复方案 新增：在 中添加了服务端认证（未认证）API 认证： - （ ）：映射到 和 的服务端过滤器。在 中分派到请求并检查：运行任何静态文件分派前，需要有效、未过期的操作员会话（通过现有的 验证），否则重定向到 以显示登录页面。 - 会话 Cookie：由于平面浏览器导航到 URL 无法携带自定义 头（仅 /XHR 可以），因此使用短小的 httpOnly、SameSite=strict、Secure Cookie（ ，作用域为 ）在登录时设置，登出时清除。 - （ ）：由于项目的 Servlet 5.0 API 预定义了 ，因此使用 头设置 ，匹配 的本地 TLS 转换到 。 - ：清除 Cookie 并发送扩展的登录响应； 清除它，并调用现有的 JWT 块撤销。 结果：未认证请求（curl，无会话 Cookie）到 17 个控制台页面中的任何一个，现在会收到重定向到 ，而不是页面内容。 变更文件 （新增）

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

TSI DPDP-CMS 控制台客户端认证绕过漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

TSI DPDP-CMS 控制台客户端认证绕过漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！