安全问题报告

[whuHouYF]

作者你好，我在本地对 Z-BlogPHP 1.7.5.3540 进行安全审计与复核时，确认了两个疑似的安全问题：
1.删除作者后，未发布文章或页面可被匿名 API 读取
该问题已经在本地实验环境中完成复现与验证。
简要影响如下：

• 原本不应被公开访问的草稿或待审内容，在特定业务状态下可被匿名访问者直接读取
• 攻击者只需要知道目标对象 ID，即可请求接口尝试读取内容
• 触发前提是作者被删除且内容被保留

2.安装器 PostgreSQL 数据库名参数可导致 SQL 注入
该问题已经在本地实验环境中完成复现与验证，并已确认存在真实数据库侧副作用。
简要影响如下：

• 攻击者如果能够访问未完成安装的站点安装器，可通过 PostgreSQL 数据库名字段影响后端 CREATE DATABASE 语义
• 在数据库账户具备建库能力时，可以造成可观测的数据库侧副作用

出于安全考虑我没有将漏洞细节呈现在issue中，在这之前我已经将详细复现步骤以及可能的影响以邮件的形式发到了contact@rainbowsoft.org，但收到了“您找错人了。请您联系该网站的所有者！”这样的自动回复，希望能够得到作者的复核和确认，如果有任何疑问请通过邮件回复，麻烦了！

[NishizakiHayato]

经过检查，第一个问题显然是删除之后将作者归类给了"访客"。从管理后台就能直接看出：

可能的修复路径:
a.将文章作者直接转移给进行删除的管理员
b.使用一个单独的ID用来标记被删除的作者
c.API侧如果非公开且ID为0就进行拦截

但是不知道作者什么时候会进行回应。
临时缓解办法：
将所有作者为访客的未公开帖子重新编辑，更改作者为管理员或其他存在的用户。