改一个字母绕过鉴权,Hugging Face 聊天管理 API 可批量导出用户私聊
cyb3rops · x · 2026-11-06
安全研究员 v12sec 披露了 Hugging Face 聊天产品中的一个管理接口绕过漏洞：将 POST /admin/export 中的字母 a 改为 URL 编码形式 %61（即 /admin/export → /%61dmin/export），即可绕过原本返回 401 的鉴权检查，请求返回 202 被接受。
- 利用该绕过，一个未鉴权请求就能触发对所有用户私有聊天记录的批量内部导出。
- 配图展示了两个请求的对比：原始路径返回 401 Unauthorized，编码后的路径返回 202 Accepted。
- 作者以线程形式披露了完整利用过程，属于典型的解析不一致（routing/normalization 不一致）导致的权限绕过案例。
「模型」频道最新
- Inkling 2 Small 自主训练模型：4.5 小时花 426 美元让 Qwen 成绩翻倍 — Scobleizer · 2026-11-06
- 用户实测：Claude Max 额度疑似与 Ultra 无异，5x/20x 档位或已取消 — LeviTurk · 2026-11-06
- 博主实测：Gemini 写代码不行，当聊天导师却很称职 — lxfater · 2026-11-06
- OpenAI 从不周五发大模型？Astra 6.2 传闻今无员工预热 — haider1 · 2026-11-06
- 实测 6 款编码 Agent 断网表现：仅 Atomic Agent 默认回退本地模型满分 — Ok-Brush8377 · 2026-11-06
- 曝 Anthropic 新模型 ECI 基准得 178.6，领先第二名 12 分 — koltregaskes · 2026-11-06