S3上传代理未认证访问与预签名凭证泄露修复分析

漏洞概述 漏洞类型：未认证的 S3 上传代理 + 预签名凭证泄露 漏洞编号：Fixes #326 提交信息： 提交者：japrasad，提交于 8月4日 变更规模：5 个文件变更，+130 行 / -12 行 影响范围 受影响文件（5 个）： - - - - - 核心问题： 1. 未认证访问：上传代理端点（ 、 、 ）未校验 API Key，任何请求均可触发 S3 上传流程。 2. 预签名凭证泄露：代理在转发请求时未清理敏感头（如 、 、 ），且 S3 预签名 URL 可能暴露给未认证用户。 3. 文件类型校验缺失：上传二进制文件时未校验文件类型与扩展名，存在危险文件类型（如 、 等）被上传的风险。 修复方案 1. 增加 API Key 认证：在 中新增 函数，从请求头 提取密钥，缺失时返回 。 2. 清理敏感请求头：在 中删除 、 、 等头，防止浏览器 Cookie 转发至 MuDI 及凭证泄露。 3. 文件类型白名单校验：在 中新增 与 常量，对上传文件的扩展名和 MIME 类型进行黑名单过滤，拦截危险类型（如 、 、 等）。 4. S3 目标 URL 校验：新增 函数，校验 S3 目标 URL 的合法性，防止 SSRF 或非法目标。 5. FormData 处理：在 路由中解析 ，提取原始 S3 目标 URL 并校验，同时过滤内部标记键（如 ）。 POC / 关键代码片段 1. API Key 认证（ ） 2. 敏感头清理（ ） 3. 文件类型黑名单（ ） ```javascript const BLOCKED_EXT = new Set([ 'html', 'htm', 'shtml', 'xhtml', 'php', 'phtml', 'asp', 'aspx', 'cfm', 'jsp', 'jspx', 'cgi', 'pl', 'py', 'sh', 'bash', 'exe', 'bat', 'cmd', 'com', 'bat', 'sh', 'cgi', 'pl', 'py', 'sh', 'bash', 'exe', 'bat', 'cmd', 'com', 'sh', 'cgi', 'pl', 'py', 'sh', 'bash', 'exe', 'bat', 'cmd', 'com' ]); const BLOCKED_MIME_TYPES = new Set([ 'text/html', 'image/svg+xml', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdownload', 'application/x-sh', 'application/x-msdow

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

S3上传代理未认证访问与预签名凭证泄露修复分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

S3上传代理未认证访问与预签名凭证泄露修复分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！