权限验证 on 办公AI智能小助手 https://blog.qife122.com/tags/%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81/ Recent content in 权限验证 on 办公AI智能小助手 Hugo zh-cn qife Sat, 13 Dec 2025 09:30:41 +0800 RabbitMQ HTTP API权限验证漏洞解析：CVE-2024-51988 https://blog.qife122.com/p/rabbitmq-http-api%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81%E6%BC%8F%E6%B4%9E%E8%A7%A3%E6%9E%90cve-2024-51988/ Sat, 13 Dec 2025 09:30:41 +0800 https://blog.qife122.com/p/rabbitmq-http-api%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81%E6%BC%8F%E6%B4%9E%E8%A7%A3%E6%9E%90cve-2024-51988/ <h3 id="漏洞概述">漏洞概述</h3> <p><strong>CVE-2024-51988</strong> 是一个在 RabbitMQ 中发现的、被评定为 <strong>高危</strong> 级别的安全漏洞。该漏洞存在于 RabbitMQ 服务器的 HTTP API 队列删除端点中。</p> <h3 id="核心问题">核心问题</h3> <p>漏洞的根本原因是：<strong>通过 HTTP API 进行队列删除操作时，未验证用户是否拥有必需的 <code>configure</code> 权限</strong>。</p> 权限验证漏洞导致编辑器可操控管理员专属工作区功能 https://blog.qife122.com/p/%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E7%BC%96%E8%BE%91%E5%99%A8%E5%8F%AF%E6%93%8D%E6%8E%A7%E7%AE%A1%E7%90%86%E5%91%98%E4%B8%93%E5%B1%9E%E5%B7%A5%E4%BD%9C%E5%8C%BA%E5%8A%9F%E8%83%BD/ Wed, 26 Nov 2025 05:21:54 +0800 https://blog.qife122.com/p/%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E7%BC%96%E8%BE%91%E5%99%A8%E5%8F%AF%E6%93%8D%E6%8E%A7%E7%AE%A1%E7%90%86%E5%91%98%E4%B8%93%E5%B1%9E%E5%B7%A5%E4%BD%9C%E5%8C%BA%E5%8A%9F%E8%83%BD/ <h1 id="不当授权导致编辑器可切换管理员专属工作区功能lovable-ai">不当授权导致编辑器可切换管理员专属工作区功能（Lovable AI）</h1> <h2 id="摘要">摘要</h2> <p>具有编辑器角色的账户可以成功调用API端点<code>/workspaces/&lt;WORKSPACE_ID&gt;/tool-preferences/ai_gateway/enable</code>来禁用工作区范围内的管理员专属功能（Lovable AI）。该API未对此操作实施服务器端角色检查，允许垂直权限提升（访问控制失效）。</p> RabbitMQ HTTP API权限验证漏洞分析 https://blog.qife122.com/p/rabbitmq-http-api%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Wed, 12 Nov 2025 16:15:31 +0800 https://blog.qife122.com/p/rabbitmq-http-api%E6%9D%83%E9%99%90%E9%AA%8C%E8%AF%81%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h1 id="rabbitmq-http-api队列删除端点权限验证漏洞">RabbitMQ HTTP API队列删除端点权限验证漏洞</h1> <h2 id="漏洞概述">漏洞概述</h2> <p><strong>CVE ID</strong>: CVE-2024-51988<br> <strong>严重程度</strong>: 高危<br> <strong>CVSS评分</strong>: 7.1/10</p> <h2 id="受影响版本">受影响版本</h2> <ul> <li>RabbitMQ 3.12.7 至 3.12.11（不含）版本</li> <li>已修复版本：3.12.11</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <h3 id="问题摘要">问题摘要</h3> <p>通过HTTP API进行队列删除时，未验证用户的配置权限。</p>