Hoshinonyaruko/palworld-go

web面板漏洞

mazafakaer opened this issue · 3 comments

mazafakaer commented

非常感谢作者提供的非常棒的项目
不过在开启公网访问时，访问此接口能在非登录情况下读取到面版账户密码：
http://xxxxxx/api/getjson
图片

ayakasuki commented

是的 这个json会有密码泄漏 但是修之后希望能给个ck验证入口 因为我有些插件是通过api的页面获取服务器人数和描述以发送给机器人

AxelPanda commented

似乎在最新版本中仍然存在这个问题，使用隐身模式打开http://xxxxxx/api/getjson仍然能看到管理密码等信息。

edit：重启了两次进程之后似乎好了