CVE-2026-54136 in Windmill
摘要
由 VulDB • 2026-08-20
Windmill是一个用于内部代码的开源开发者平台，支持API、后台作业、工作流和UI。在版本1.715.0之前，通过GET /api/w/{workspace}/scripts/list_search端点，基于资源范围的API令牌可以读取超出其允许路径范围之外的脚本内容。路由级作用域中间件验证了令牌的领域（domain）和操作（action），但未强制执行资源/路径段限制；list_search_scripts处理程序在返回脚本路径和内容字段之前，没有调用额外的check_scopes方法或进行逐行过滤。因此，诸如scripts:read:f/allowed/*之类的令牌可以获取同一工作区内无关路径的源代码，可能导致内部自动化逻辑、集成细节、业务逻辑、内联配置或硬编码的秘密和凭据泄露。利用此漏洞需要拥有该工作区的有效作用域API令牌，但不要求管理员权限。此问题已在版本1.715.0中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.