在 Lookspan 的 API 中发现了一个安全漏洞，Express 中不区分大小写的路由与授权守卫发生冲突。这允许未经授权访问 API 端点，从而在没有适当身份验证的情况下读取和写入数据。该问题源于路由和守卫在路径匹配方面的分歧，特别是当路径被大写时。 AI
影响 此漏洞可能暴露敏感数据并破坏依赖 Lookspan 的 AI 可观测性系统。
排序理由 特定软件产品的安全漏洞。
在 Mastodon — fosstodon.org 阅读 →
AI 生成摘要 · Google Gemini · 来自 1 个来源。 我们如何撰写摘要 →
Lookspan's docs say: with --token set, /api/* requires an Authorization header. Express routes case-insensitively. The auth guard asked req.path.startsWith('/api'), which does not. So the guard and the router disagreed about what a path was, and requests fell through the gap: GET…