2026-10-27 17:06:15 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

弹幕服务danmu\_api 默认 TOKEN 绕过 CVE-2026-116485

红队安全圈
红队安全圈

红队安全圈

2026年10月27日 08:00
重庆

去阅读

CVSS 9.8：弹幕服务 danmu\_api 的默认 TOKEN 兼容垫片可被用来冒充管理员，未认证就能改服务器环境变量，改完还能触发重新部署。

danmu\_api 是一个开源弹幕 API 服务（GitHub huangxd-/danmu\_api，3300+ star），兼容弹弹play 接口规范，很多人把它一键部署在 Vercel、Cloudflare、Docker 上给 NAS 或播放器供弹幕。1.21.7 之前的版本存在一个认证绕过（CVE-2026-116485，CVSS 9.8）：攻击者无需任何凭证，就能调用系统管理接口修改服务器环境变量——改完了还能触发重新部署。个人部署者的实例基本都躺在默认配置上，这个洞对他们的实际风险是直接的。

02 漏洞速览

漏洞编号CVE-2026-116485

影响产品danmu\_api（huangxd-）

影响版本1.21.7 之前

漏洞类型认证绕过（默认 TOKEN 被用于自我授权）

危害等级CVSS 9.8 Critical

攻击前提使用默认 TOKEN 且未设置 ADMIN\_TOKEN

攻击路径POST /api/env/set、/env/add、/env/del

公开 PoC暂无，也暂无在野利用报告

03 漏洞成因

这个项目为了兼容只填了默认 TOKEN=87654321 的老用户，做了一层兜底逻辑：请求没带 token 时按默认 TOKEN 放行。问题在于这层垫片和系统管理接口的鉴权互相打架。

旧版本里，管理接口（/api/env/\、/api/deploy、/api/cache/\ 等）的鉴权检查的是当前生效的 token 是否等于 ADMIN\_TOKEN——而 ADMIN\_TOKEN 没设置时，当前生效的 token 正是那个默认值。于是走一遍逻辑：请求带默认 TOKEN → 垫片放行 → currentToken 等于默认值 → 管理接口判定有权限。一个写来方便用户的兼容垫片，变成了自带管理员权限的后门。

1.21.7 的修复很干净：管理接口只看请求实际显式携带的凭证（explicitToken），默认 TOKEN 的免鉴权兼容完全不适用于这些路径；ADMIN\_TOKEN 未设置时直接拒绝，返回需要先设置 ADMIN\_TOKEN。

04 影响范围

受影响：1.21.7 之前的所有版本，凡使用默认 TOKEN 且未设置 ADMIN\_TOKEN 的部署——Vercel / Netlify / Cloudflare / EdgeOne / Docker / HF 各部署方式都一样。

已修复：1.21.7 及以上。

05 危害推演（暂无公开利用详情）

没有公开 PoC，但从成因可以推出完整攻击路径，不需要任何技巧：

扫描定位实例：这类弹幕 API 多部署在 Vercel / Cloudflare 的共享域名或自绑域名上，路径特征明显，批量探测成本极低。
带上默认 TOKEN 直接 POST /api/env/set：把 ADMIN\_TOKEN 设成攻击者自己的值——原作者当场被锁在门外，实例易主。
改 OTHER\_SERVER 或 PROXY\_URL 指向攻击者服务器：所有用户的弹幕查询流量（含来源站点 Cookie 等配置）被中间转发，构成 SSRF 和信息收集点。
调 /api/deploy 触发重新部署：让恶意环境变量立即生效，全程无感。

一句话：这不是读数据的洞，是拿控制权的洞。

06 检测与排查

看版本：部署时间早于 1.21.7 发布时间、或仓库最近没拉过更新的，先按受影响处理。

看配置：检查自己的 TOKEN 是不是还是默认的 87654321，以及 ADMIN\_TOKEN 是否为空。两个都中招就是完全暴露。

看痕迹：检查环境变量列表里有没有自己没设置过的项（尤其 ADMIN\_TOKEN、OTHER\_SERVER、PROXY\_URL），有就说明已经被人改过，实例要整体重置而不是只改密码。

07 修复建议

升级到 1.21.7 或以上版本，各平台重新部署即可。

务必把 TOKEN 从默认值 87654321 改成随机长字符串，并显式设置 ADMIN\_TOKEN——即使升级了，默认口令本身也是长期风险。

已有被改动痕迹的实例：重置全部环境变量、更换 TOKEN 后再上线。

08 红队视角

这类洞的价值不在漏洞本身多精巧，而在资产面：几千个 star 的项目、一键部署、默认口令出厂即用，互联网上存活实例数量会相当可观。对防御侧的提醒是，自部署服务的第一课永远是改默认凭证——网络空间测绘引擎上以默认 TOKEN 特征搜这类实例，大概率一搜一串。对企业红队来说，员工自建的边缘小服务（弹幕、图床、代理面板）是常见的影子资产，鉴权垫片类逻辑缺陷值得纳入代码审计 checklist：任何为兼容而放行的分支，都要问一句它能不能被用来通过更高权限的检查。