AlistGo / AlistGo/alist

web代理中对标头的未正确隐藏处理导致敏感信息泄露

Offen
#7,657 22 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen
bug
Vorherrschende Sprache
Go
Sterne
50.2k
Forks
7.9k
Ø Merge
7 T. 21 Std.
Gemergte PRs (30 T.)
6

Beschreibung

### Please make sure of the following things

- [X] I have read the [documentation](https://alist.nn.ci).
我已经阅读了[文档](https://alist.nn.ci)。

- [X] I'm sure there are no duplicate issues or discussions.
我确定没有重复的issue或讨论。

- [X] I'm sure it's due to `AList` and not something else(such as [Network](https://alist.nn.ci/faq/howto.html#tls-handshake-timeout-read-connection-reset-by-peer-dns-lookup-failed-connect-connection-refused-client-timeout-exceeded-while-awaiting-headers-no-such-host) ,`Dependencies` or `Operational`).
我确定是`AList`的问题,而不是其他原因(例如[网络](https://alist.nn.ci/zh/faq/howto.html#tls-handshake-timeout-read-connection-reset-by-peer-dns-lookup-failed-connect-connection-refused-client-timeout-exceeded-while-awaiting-headers-no-such-host),`依赖`或`操作`)。

- [X] I'm sure this issue is not fixed in the latest version.
我确定这个问题在最新版本中没有被修复。

### AList Version / AList 版本

3.35

### Driver used / 使用的存储驱动

Onedrive

### Describe the bug / 问题描述

当开启了alist中的web代理时:
![2](https://github.com/user-attachments/assets/2e4fbc7e-de41-4371-8c6a-86bb029d41af)
获取到的onedrive文件的HTTP标头中会出现doicd等信息,可以清楚的查看到文件来自于onedrive的哪个组织,且有标识码对应用户:
![1](https://github.com/user-attachments/assets/d6e5a94d-7fb5-4494-9de9-ab07299fc932)

不知道是故意这样设计的还是一个漏洞,如果是故意暴露的请忽略,如果是设计漏洞请处理
PS:不止OD有这个问题,测试了几个存储器都一样

### Reproduction / 复现链接

http://192.168.0.154:5244/onedrive/摄影/2024.12.12约拍coser/0071.mp4

### Config / 配置

无。

### Logs / 日志

_No response_

Beitragsleitfaden

Beitragsleitfaden öffnen

Bewertung

Dieses Issue wurde noch nicht bewertet.

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.