hao/websafe-kb
1
0
派生 0
代码 工单 合并请求 1 工作流 软件包 项目 发布 百科 活动

kb: expand authorized lab coverage and intel automation

浏览代码
这个提交包含在：
hao
2026-03-16 22:04:51 -07:00
父节点 cda31e86c7
当前提交 d0120fbf10
共修改 592 个文件，包含 29025 行新增和 267 行删除
下载 Patch 文件 下载 Diff 文件 展开所有文件 折叠所有文件

16
07-framework-security/cms/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# cms
> 自动生成系统分组索引
- 系统数量: `9`
- 允许范围: `lab-local`, `lab-public`, `authorized-third-party`
- [Directus](/Users/x/websafe/07-framework-security/cms/directus/README.md)
- [Discourse](/Users/x/websafe/07-framework-security/cms/discourse/README.md)
- [Drupal](/Users/x/websafe/07-framework-security/cms/drupal/README.md)
- [Ghost](/Users/x/websafe/07-framework-security/cms/ghost/README.md)
- [Joomla](/Users/x/websafe/07-framework-security/cms/joomla/README.md)
- [MediaWiki](/Users/x/websafe/07-framework-security/cms/mediawiki/README.md)
- [Moodle](/Users/x/websafe/07-framework-security/cms/moodle/README.md)
- [Strapi](/Users/x/websafe/07-framework-security/cms/strapi/README.md)
- [WordPress](/Users/x/websafe/07-framework-security/cms/wordpress/README.md)

30
07-framework-security/cms/directus/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# Directus
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `directus`
- 分类: `cms`
- 覆盖策略: `rolling-24m`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Directus GitHub Advisories](https://github.com/directus/directus/security/advisories) (mode=core)
- `official` [OSV Directus](https://osv.dev/) (mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/directus/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Directus
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `rolling-24m`
- Advisory 模式: core, extension
- 输出目录: `07-framework-security/cms/directus`
- 修复主题: authz-server-side-recheck, token-cookie-storage, file-upload-validation
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/directus/INDEX.md)
- Registry 统计: [directus.json](/Users/x/websafe/08-threat-intel/registry/systems/directus.json)

30
07-framework-security/cms/discourse/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# Discourse
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `discourse`
- 分类: `cms`
- 覆盖策略: `rolling-24m`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Discourse Meta Security](https://meta.discourse.org/c/bug/security/40) (mode=core)
- `official` [GitHub Discourse Advisories](https://github.com/discourse/discourse/security/advisories) (mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/discourse/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Discourse
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `rolling-24m`
- Advisory 模式: core, plugin
- 输出目录: `07-framework-security/cms/discourse`
- 修复主题: authz-server-side-recheck, xss-output-encoding, plugin-extension-trust-policy
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/discourse/INDEX.md)
- Registry 统计: [discourse.json](/Users/x/websafe/08-threat-intel/registry/systems/discourse.json)

31
07-framework-security/cms/drupal/INDEX.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# Drupal
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `drupal`
- 分类: `cms`
- 覆盖策略: `history-full`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Drupal Security Advisories RSS](https://www.drupal.org/security/rss.xml) (mode=core)
- `official` [NVD Drupal](https://nvd.nist.gov/vuln/search) (keyword=Drupal; mode=core)
- `ecosystem-authority` [Drupal Security Advisories Site](https://www.drupal.org/security) (mode=module)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/drupal/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Drupal
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `history-full`
- Advisory 模式: core, module
- 输出目录: `07-framework-security/cms/drupal`
- 修复主题: authz-server-side-recheck, xss-output-encoding, file-upload-validation, plugin-extension-trust-policy
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/drupal/INDEX.md)
- Registry 统计: [drupal.json](/Users/x/websafe/08-threat-intel/registry/systems/drupal.json)

30
07-framework-security/cms/ghost/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# Ghost
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `ghost`
- 分类: `cms`
- 覆盖策略: `rolling-24m`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Ghost GitHub Advisories](https://github.com/TryGhost/Ghost/security/advisories) (mode=core)
- `official` [NVD Ghost](https://nvd.nist.gov/vuln/search) (keyword=Ghost CMS; mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/ghost/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Ghost
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `rolling-24m`
- Advisory 模式: core
- 输出目录: `07-framework-security/cms/ghost`
- 修复主题: authz-server-side-recheck, xss-output-encoding, token-cookie-storage
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/ghost/INDEX.md)
- Registry 统计: [ghost.json](/Users/x/websafe/08-threat-intel/registry/systems/ghost.json)

30
07-framework-security/cms/joomla/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# Joomla
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `joomla`
- 分类: `cms`
- 覆盖策略: `history-full`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Joomla Security Centre](https://developer.joomla.org/security-centre.html) (mode=core)
- `official` [NVD Joomla](https://nvd.nist.gov/vuln/search) (keyword=Joomla; mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/joomla/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Joomla
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `history-full`
- Advisory 模式: core, extension
- 输出目录: `07-framework-security/cms/joomla`
- 修复主题: xss-output-encoding, file-upload-validation, path-traversal-guard, plugin-extension-trust-policy
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/joomla/INDEX.md)
- Registry 统计: [joomla.json](/Users/x/websafe/08-threat-intel/registry/systems/joomla.json)

30
07-framework-security/cms/mediawiki/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# MediaWiki
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `mediawiki`
- 分类: `cms`
- 覆盖策略: `rolling-24m`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [MediaWiki Security Releases](https://www.mediawiki.org/wiki/Security) (mode=core)
- `official` [NVD MediaWiki](https://nvd.nist.gov/vuln/search) (keyword=MediaWiki; mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/mediawiki/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# MediaWiki
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `rolling-24m`
- Advisory 模式: core, extension
- 输出目录: `07-framework-security/cms/mediawiki`
- 修复主题: xss-output-encoding, authz-server-side-recheck, file-upload-validation
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/mediawiki/INDEX.md)
- Registry 统计: [mediawiki.json](/Users/x/websafe/08-threat-intel/registry/systems/mediawiki.json)

30
07-framework-security/cms/moodle/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# Moodle
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `moodle`
- 分类: `cms`
- 覆盖策略: `rolling-24m`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Moodle Security News](https://moodle.org/security/) (mode=core)
- `official` [NVD Moodle](https://nvd.nist.gov/vuln/search) (keyword=Moodle; mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/moodle/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Moodle
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `rolling-24m`
- Advisory 模式: core, plugin
- 输出目录: `07-framework-security/cms/moodle`
- 修复主题: authz-server-side-recheck, xss-output-encoding, file-upload-validation
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/moodle/INDEX.md)
- Registry 统计: [moodle.json](/Users/x/websafe/08-threat-intel/registry/systems/moodle.json)

30
07-framework-security/cms/strapi/INDEX.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# Strapi
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `strapi`
- 分类: `cms`
- 覆盖策略: `rolling-24m`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [Strapi GitHub Advisories](https://github.com/strapi/strapi/security/advisories) (mode=core)
- `official` [OSV Strapi](https://osv.dev/) (mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/strapi/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# Strapi
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `rolling-24m`
- Advisory 模式: core, plugin
- 输出目录: `07-framework-security/cms/strapi`
- 修复主题: authz-server-side-recheck, token-cookie-storage, file-upload-validation
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/strapi/INDEX.md)
- Registry 统计: [strapi.json](/Users/x/websafe/08-threat-intel/registry/systems/strapi.json)

34
07-framework-security/cms/wordpress/INDEX.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# WordPress
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY` | 自动生成索引
- 系统 ID: `wordpress`
- 分类: `cms`
- 覆盖策略: `history-full`
- 总案例数: `0`
- 近 30 天新增/更新: `0`
- 重点 Markdown 案例数: `0`
- 最近渲染时间: `2026-03-17T04:37:52+00:00`
## 目标约束
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but ownership or authorization is required`
- 授权前提: 资产归属可证明，或已取得书面/明确授权。
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
## 来源
- `official` [WordPress Security News](https://wordpress.org/news/category/security/) (mode=core)
- `official` [NVD WordPress](https://nvd.nist.gov/vuln/search) (keyword=WordPress; mode=core)
- `ecosystem-authority` [Wordfence Vulnerability Database](https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/) (mode=plugin)
- `ecosystem-authority` [Patchstack Database](https://patchstack.com/database/) (mode=plugin)
- `ecosystem-authority` [WPScan Vulnerability Database](https://wpscan.com/blog/) (mode=plugin)
- `research` [PortSwigger Research](https://portswigger.net/research) (mode=core)
## 案例列表
| 标题 | 严重度 | 状态 | 来源置信度 | 更新时间 | 案例页 |
|------|--------|------|------------|----------|--------|
| No advisories yet | `n/a` | `empty` | `n/a` | `n/a` | - |

16
07-framework-security/cms/wordpress/README.md 普通文件
查看文件

@@ -0,0 +1,16 @@
# WordPress
> `LAB ONLY` | `AUTHORIZED TARGETS ONLY`
- 分类: `cms`
- 覆盖层级: `history-full`
- Advisory 模式: core, plugin
- 输出目录: `07-framework-security/cms/wordpress`
- 修复主题: plugin-extension-trust-policy, xss-output-encoding, file-upload-validation, token-cookie-storage
- 适用目标类型: `lab-local, lab-public, authorized-third-party`
- 是否允许公网验证: `yes, but only for owned or authorized targets`
- 最小化验证方式: 最小化验证、只读探测、可审计回显、受控注入。
- 禁止场景: 无归属证明或无明确授权的公网目标；知名公共网站或与测试无关的第三方资产；会造成持久破坏、数据越权下载或不可回滚影响的动作
- 自动索引: [INDEX.md](/Users/x/websafe/07-framework-security/cms/wordpress/INDEX.md)
- Registry 统计: [wordpress.json](/Users/x/websafe/08-threat-intel/registry/systems/wordpress.json)