漏洞名称： Swagger API 未授权访问漏洞【原理扫描】【refine】

Swagger UI / Knife4j / SpringDoc 接口文档

，外部 / 内网任意人员可直接访问 

 等地址，查看全部接口路径、请求参数、入参出参、敏感业务字段，属于信息泄露类高危漏洞。 

原理扫描、refine 优化、内网渗透、信息泄露、接口探测辅助漏洞

向量数据库weaviate:1.27.0，高危漏洞处理：

Swagger API 未授权访问漏洞【原理扫描】【refine】

修复方案一（当前版本不生效，高版本才行）：

    environment:
     # ==========核心修复：关闭匿名访问，开启API密钥鉴权==========
      # 认证
      - AUTHENTICATION_ANONYMOUS_ACCESS_ENABLED=false
      - AUTHENTICATION_APIKEY_ENABLED=true
      - AUTHENTICATION_APIKEY_ALLOWED_KEYS=${AUTH_API_KEY}
      - AUTHENTICATION_APIKEY_USERS=${AUTH_API_USER}
      - AUTHORIZATION_ADMINLIST_ENABLED=true
      - AUTHORIZATION_ADMINLIST_USERS=${AUTH_API_USER}
      - AUTHORIZATION_ADMINLIST_READONLY_USERS=readonly

      - ENABLE_MODULES=

修复方案二（内网还是有链接可以访问）：

Nginx暴露的8060端口封禁漏洞调用URL

server {
    listen 8060;
    server_name -;

    add_header X-Frame-Options SAMEORIGIN always;
    add_header X-Content-Type-Options nosniff;

    proxy_connect_timeout 60s;
    proxy_send_timeout 60s;
    proxy_read_timeout 60s;
    keepalive_timeout 60s;

    # 封禁访问
    location = /v1/docs        { return 403; }
    location = /v1/docs.json   { return 403; }
    location = /v1/docs.yaml   { return 403; }
    location = /v1/docs.html   { return 403; }
    location = /v1/openapi.json { return 403; }
    location = /v1/openapi.yaml { return 403; }
    location = /v1/swagger.json { return 403; }

    location / {
        proxy_pass http://weaviate_cluster_http;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_next_upstream error timeout http_500 http_502 http_503;
        proxy_next_upstream_tries 3;
    }
}

修复方案三（实际使用的方案）：

内网的漏洞修复方案（直接 iptables 限制 8060 端口）

93-96是部署集群的机器，97是代理nginx的机器IP

# 创建表和链
nft add table inet weaviate_filter
nft add chain inet weaviate_filter input '{ type filter hook input priority 0; policy accept; }'

# 白名单
nft add rule inet weaviate_filter input tcp dport 8060 ip saddr 10.12.60.93 accept
nft add rule inet weaviate_filter input tcp dport 8060 ip saddr 10.12.60.94 accept
nft add rule inet weaviate_filter input tcp dport 8060 ip saddr 10.12.60.95 accept
nft add rule inet weaviate_filter input tcp dport 8060 ip saddr 10.12.60.96 accept
nft add rule inet weaviate_filter input tcp dport 8060 ip saddr 10.12.60.97 accept

# 拒绝其他所有
nft add rule inet weaviate_filter input tcp dport 8060 drop

# 验证
nft list table inet weaviate_filter

# 从非 Dify 机器访问应返回 403 或 timeout
curl -m 5 http://10.12.60.92:8060/swagger.json
# 预期：403 Forbidden 或 Connection refused


Swagger UI / Knife4j / SpringDoc 接口文档未做登录鉴权、无访问拦截，外部 / 内网任意人员可直接访问 /swagger-ui.html、/doc.html、/v3/api-docs 等地址，查看全部接口路径、请求参数、入参出参、敏感业务字段，属于信息泄露类高危漏洞。 

weaviate向量数据库的高危漏洞处理：Swagger API 未授权访问漏洞【原理扫描】【refine】

weaviate向量数据库的高危漏洞处理：Swagger API 未授权访问漏洞【原理扫描】【refine】
向量数据库weaviate:1.27.0，高危漏洞处理

数据库

安全

运维

SwaggerAPI未授权访问漏洞属于高危信息泄露风险，攻击者可查看系统全部接口路径、请求参数及敏感业务字段。修复方案包括开启API密钥鉴权、Nginx路径封禁或iptables端口限制，建议及时处理避免越权、批量查询等衍生风险。

向量数据库

漏洞修复

路由

Nginx

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

weaviate向量数据库的高危漏洞处理：Swagger API 未授权访问漏洞【原理扫描】【refine】

weaviate向量数据库的高危漏洞处理：Swagger API 未授权访问漏洞【原理扫描】【refine】

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐