search

mnt-ltd / moredoc

moredoc，魔豆文库，基于golang开发的类似百度文库的开源文库系统，dochub文库的重构版本。
https://moredoc.mnt.ltd
Apache License 2.0
443 stars 106 forks source link

部分接口存在未授权访问问题 #38

Closed lengyf closed 7 months ago

lengyf commented 8 months ago

版本号：2.4.0 问题描述： 在不登录的情况下访问/api/v1/user/list接口，能够获取用户列表数据。 在不登录的情况下访问/api/v1/stats接口，能够获取服务器及应用版本等敏感数据。 在不登录的情况下访问/api/v1/device接口，能够获取服务器信息等敏感数据。

TruthHun commented 8 months ago

感谢反馈。其中/api/v1/user/list是可以访问用户非隐私的公开数据的，只有管理员访问这个接口时才会获取到更详实的数据。另外两个API接口，敏感数据我们这边处理下，只有管理员才能获取相应数据。

TruthHun commented 8 months ago

2.5.0 版本已修复并发布，建议升级