摘要：
Dragonboat Log Replication 代码走读 Dragonboat 是一个开源的高性能Go实现的Raft共识协议实现. 具有良好的性能和久经社区检验的鲁棒性, 机遇巧合, 接触到. 因此决定结合Raft博士论文走读其源码. 今天带来Raft中三大核心之一的日志复制Log Repli 阅读全文
posted @ 2022-10-11 17:58
Aibot
阅读(478)
评论(0)
推荐(1)
摘要： 
Pebble vs Rocksdb参数调优表 | 序号 | Pebble参数 | Pebble配置建议 | Rocksdb参数 | Rocksdb配置建议 | 其他 | | | | | | | | | LevelOptions | | | | | | | 1 | BlockRestartInterv 阅读全文
Pebble vs Rocksdb参数调优表 | 序号 | Pebble参数 | Pebble配置建议 | Rocksdb参数 | Rocksdb配置建议 | 其他 | | | | | | | | | LevelOptions | | | | | | | 1 | BlockRestartInterv 阅读全文
posted @ 2022-09-16 16:42
Aibot
阅读(829)
评论(0)
推荐(0)
摘要：
Issue 1：role.saveRoleStaff 1. 风险分析（危害分析） 该接口允许直接将角色绑定到任意员工。由于缺少“可授予角色上界”和“可管理用户范围”的限制，攻击者可将高权限角色分配给自己或任意 staff，从而实现权限提升，并被下游鉴权逻辑直接信任，最终导致后台权限体系失控。 2. 阅读全文
posted @ 2026-05-06 16:46
Aibot
阅读(3)
评论(0)
推荐(0)
摘要：
Issue 1: POST /baseEmployee/employeeRole 1. 风险分析（危害分析） 该接口允许直接按 employeeId 绑定 roleIdList，但未限制操作者的可授权上界。攻击者一旦具备接口调用权限，即可为自己或任意员工分配高权限角色（包括参与租户管理员判定的角色） 阅读全文
posted @ 2026-05-06 16:24
Aibot
阅读(2)
评论(0)
推荐(0)
摘要：
Issue 1: protect.Knowledge/save 1. Risk Analysis An attacker can inject themselves into the editors ACL during an update request, thereby bypassing au 阅读全文
posted @ 2026-05-06 16:12
Aibot
阅读(2)
评论(0)
推荐(0)
摘要：
✅ Issue 1：DELETE 文档链路（高危破坏型） 最大危害（优化版） 任意已登录用户可删除他人文档及其物理文件，导致数据不可恢复丢失 + ES 索引同步删除，形成系统级内容破坏。 修复关键点（更工程化） 删除前统一走： checkDocPermission(docId, currentUse 阅读全文
posted @ 2026-05-06 15:15
Aibot
阅读(0)
评论(0)
推荐(0)
摘要：
✅ Issue 1：POST /user/resetPwd 最大危害（一句话） 任意已登录用户可直接重置同租户内任意非 admin 账号密码并接管会话，形成横向账号接管与权限扩散。 修复关键点（一句话） 将 resetPwd 改为基于当前用户的强授权模型：仅允许“本人改密码”或“具备用户管理权限的管 阅读全文
posted @ 2026-05-06 14:48
Aibot
阅读(2)
评论(0)
推荐(0)
摘要：
JEEWMS 审计报告 说明 项目： jeesite5 / JEEWMS 方法： 仅基于当前仓库代码 判定标准： 优先保留能闭合到“入口授权 → sink 写入 → 后续生效点”的接口 结论性质： 本文为代码级初判，不等同最终裁决 漏洞接口一览 userController.do?saveUser 阅读全文
posted @ 2026-05-06 14:22
Aibot
阅读(2)
评论(0)
推荐(0)
摘要：
审计报告（jeesite5） 生成时间：2026-04-25 范围说明 仅基于当前仓库代码分析 按「入口授权 → sink 写入 → 后续生效点」链路收敛 本文为代码级初筛结果，不等同最终裁决 漏洞接口一览 POST ${adminPath}/sys/empUser/save POST ${admi 阅读全文
posted @ 2026-05-06 14:14
Aibot
阅读(3)
评论(0)
推荐(0)
摘要：
Issue 1：GET /attachments/{attachmentId} （对象级读取缺失检查候选，最终裁决：非漏洞） 1. 风险分析 该接口在读取附件时未显式校验 chat_attachment.user_id，理论上可能导致跨用户附件读取。一旦攻击者获取他人 attachmentId，可直 阅读全文
posted @ 2026-05-06 14:04
Aibot
阅读(2)
评论(0)
推荐(0)
摘要：
下面是整理后的中文版规范漏洞报告（MDM / Bulk 操作相关），统一采用 1 风险分析，2 漏洞信息，3 核验细节，4 安全建议 结构，并仅保留最终判定为有效问题的 Issue 1（其余为非漏洞结论，做简要归档说明）。 Issue 1：/$mdm-link-history 分区/资源级读取约束缺 阅读全文
posted @ 2026-05-06 13:48
Aibot
阅读(3)
评论(0)
推荐(0)
摘要：
下面是整理后的Issue 1：文件分享创建越权（跨用户文件绑定） 1. 风险分析 攻击者只需获取任意他人 fileId，即可将该文件加入自己的分享中并对外传播，最终导致跨用户文件泄露、未授权下载，甚至形成稳定的二次扩散链路。 2. 漏洞信息 接口： POST /apis/share/create 缺 阅读全文
posted @ 2026-05-06 12:25
Aibot
阅读(3)
评论(0)
推荐(0)
浙公网安备 33010602011771号