perfree go-fastdfs-web doInstall InstallController.java 权限不当

在 perfree go-fastdfs-web 的 1.3.7 及更早版本中，发现了一个不当授权的漏洞。该漏洞位于文件 src/main/java/com/perfree/controller/InstallController.java 中的 doInstall 接口中。远程攻击者可能利用此漏洞获取对资源的未经授权的访问或执行未经授权的操作。该漏洞的严重程度在 CVSS 规模上评为 7.3。供应商对该漏洞的公开披露未作出响应，这加剧了情况，使用户面临重大风险。攻击成功可能导致存储和管理在 go-fastdfs-web 系统中的数据的机密性和完整性受损。

Organizations deploying go-fastdfs-web in production environments, particularly those with exposed instances accessible from the internet, are at significant risk. Shared hosting environments where multiple users share the same go-fastdfs-web instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others. Systems with legacy configurations or those lacking robust network security controls are especially susceptible.

• java / server:

grep -r 'doInstall' /path/to/go-fastdfs-web/src/main/java/

• generic web:

curl -I http://your-server/install | grep -i '200 OK'

• generic web:

curl -I http://your-server/install/ | grep -i '403 Forbidden'

1. 2026-04-11Disclosure

   disclosure

1. 已保留2026-04-11
2. 发布日期2026-04-11
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-19

由于供应商未提供修复程序，因此立即的缓解措施包括在可用情况下升级到 go-fastdfs-web 的更新版本。如果无法升级，建议在运行 go-fastdfs-web 的环境中实施严格的访问控制。这包括配置防火墙、将对 doInstall 接口的访问限制为授权用户，以及持续监控系统是否存在利用迹象。此外，建议审查和加强现有的安全策略，以确保对潜在攻击进行分层防御。供应商的未响应情况强调了自我保护和积极安全实践的重要性。