Avo CVE-2025-53769: Missing Upload Authorization Bypasses Field-Level Policies

漏洞关键信息总结 漏洞概述 漏洞名称：直接附件上传端点缺少上传授权，并绕过字段级上传策略 漏洞类型：缺失的服务器端授权（Missing Server-Side Authorization） 严重程度：中危（Medium） CVE 编号：CVE-2025-53769 CVSS v3.1 评分：6.5（向量：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N） 核心问题：Avo 暴露了一个直接附件上传端点（ ），该端点在创建 时未校验被请求的附件关联，也未执行任何上传授权检查。认证后的 Avo 用户可替换或添加附件内容（包括二进制内容、文件名、内容类型元数据），即使目标记录同时被字段级策略（如 ）拒绝。 影响范围 受影响版本： （修复版本待维护者确定） 主要影响场景：多租户 Avo 部署中，非管理员或受限操作员可替换/添加附件，而字段级策略本应拒绝该操作。 具体影响： - 认证用户可替换或添加附件内容（二进制、文件名、内容类型） - 即使目标记录被字段级策略（如 ）拒绝，上传仍会成功 - 端点不检查 ，导致策略检查被绕过 - 在管理型部署中，非管理员操作员可替换或添加附件，即使字段级策略本应拒绝 修复方案 建议修复方向： 1. 在存储任何 Blob 之前，验证被请求的 2. 从 之前执行上传授权 3. 从已验证的 派生策略方法 4. 应用等效的授权决策（允许/拒绝） 5. 返回 403 兼容的 响应 默认行为： 在 中默认为 ，应用无需自定义授权客户端即可获得修复。 缓解措施： - 应用可添加自定义授权客户端以显式强制执行上传策略 - 在修复可用前，应用可通过确保仅完全信任的管理员可访问 Avo 路由来降低暴露面 - 需要立即缓解的应用可回退到回退行为（拒绝所有上传） POC 代码 `` :admin: true`（需要它才能通过哑应用粗粒度路由守卫） 授权检查 authorize_user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(user, ->(us

目標達成すべての支援者に感謝 — 100%達成しました！

Avo CVE-2025-53769: Missing Upload Authorization Bypasses Field-Level Policies

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Avo CVE-2025-53769: Missing Upload Authorization Bypasses Field-Level Policies

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！