脚本没有命令注入，邮件却泄露了：AetherBrowser 运维接口的授权缺口

脚本没有命令注入邮件却泄露了AetherBrowser 运维接口的授权缺口一、背景与时间线项目公告显示发布时间为2026-08-08GitHub 已审核记录于2026-09-25收录。相关修复 PR #2287更早于2026-06-16合并。修复、公告与数据库收录是不同时间不应人为排列成“先公开再修复”的统一故事。项目公告版本表包pip scbe-aethermoore漏洞CVE-2026-57443 / GHSA-q986-4x7x-gx39受影响4.0.24.2.1最低修复4.2.1关键功能AetherBrowser 运维 API**资料边界**公告附录的复现注释出现v4.2.1与版本表把 4.2.1 列为修复版本存在不一致。本文保留该差异不凭注释扩大受影响范围。部署验证应检查实际脚本和中间件而不只相信包标签。二、技术链路身份被服务器凭据替换公告描述的/api/ops/check-email未认证接口会运行邮件读取脚本脚本使用配置的 IMAP 凭据读取邮箱并把发送者、主题和正文片段打印到标准输出。接口截取前 2000 个字符作为响应。没有配置邮箱凭据时返回的横幅只能证明脚本被调用不能证明真实邮件已经泄露。**工程分析**真正的权限提升发生在“远程调用者的请求”转化成“服务器以保存的邮箱身份执行动作”的位置。固定命令、无 shell 和参数分离能减少命令注入风险但不会回答调用者有没有资格读取邮箱。同时截断输出只是限制长度不是脱敏。一段很短的邮件主题也可能包含业务机密。将 stdout 原样转换成 API 响应等于把脚本原本面向运维人员的显示范围扩展给网络调用者。三、CORS、监听地址与认证各管什么控制解决的问题不能替代的控制监听地址与防火墙谁能够到达服务应用身份与授权CORS浏览器跨源读取策略非浏览器客户端认证API 身份校验调用者是谁邮箱归属与具体动作授权响应字段白名单哪些数据可以返回执行前的访问控制公告提到默认监听所有接口及宽松 CORS。**工程分析**监听所有接口不等于一定公网可达还需结合端口发布、防火墙和路由。收紧 CORS 也不能阻止直接 HTTP 客户端因此不能把修改 CORS 当成完整修复。四、无网络验证拒绝请求必须没有副作用示例不读取邮箱、不启动子进程。它测试“先认证、后调用”以及只输出固定结构。演示令牌只是测试数据不用于生产。importhmac calls[]deffake_reader():calls.append(called)return{count:2,stdout:private sample}defops(expected,supplied):ifnotexpectedornotsupplied:raisePermissionError(disabled or unauthenticated)ifnothmac.compare_digest(expected,supplied):raisePermissionError(invalid identity)resultfake_reader()return{ok:True,count:result[count]}forexpected,suppliedin[(,),(demo,),(demo,wrong)]:try:ops(expected,supplied)exceptPermissionError:passelse:raiseAssertionError(should reject)assertcalls[]assertops(demo,demo){ok:True,count:2}assertlen(calls)1print(auth-before-side-effect checks passed)生产系统还需要令牌生命周期、权限范围、传输保护与审计。本模型只强调一个测试不变量拒绝请求不仅返回错误还必须没有调用敏感依赖。五、修复策略与部署核验PR #2287 说明对/api/ops/*与/api/cli/*添加默认拒绝中间件未设置SCBE_OPS_ADMIN_TOKEN时禁用调用时要求匹配的X-Admin-Token预检 OPTIONS 例外。公告里的建议示例采用不同环境变量和请求头名称部署时应以实际安装版本为准不能混用两套名称。**建议 P0**更新到包含修复的版本限制运维 API 的可达性在隔离测试环境验证缺失配置、错误令牌、正确令牌三种状态。生产排查优先读取配置和日志避免为了证明漏洞而触发真实邮箱读取。**建议 P1**把脚本输出改为明确的结果协议对邮件正文与诊断信息分别管理。检查同类运维路由的身份与权限防止只修复已被报告的一个端点。错误响应不返回堆栈、环境内容或原始 stdout。**建议 P2**为每种敏感连接器标明凭据所有者与可调用身份必要时将运维服务与用户服务分进程运行。对异常调用关联请求身份、脚本执行与 IMAP 连接日志不要把日志缺失当作未发生泄露的证据。六、总结安全的子进程调用方式不等于安全的业务能力。任何能够代表服务器访问邮箱、云平台或仓库的接口都需要在执行前绑定调用者权限并对返回结果重新做数据边界审查。