数据泄露
数据泄露是如何发生的
已公开数据的来源,以及 Exoliner 自家面板为何对其敞开。
数据来自哪里
面板导出(2026 年 9 月 28 日)
本站所有内容均通过 Exoliner 自家的管理面板导出:用户账号、脚本执行日志、Discord 工单记录、审核记录以及面板自身的统计快照。导出是通过多次员工级别的拉取、从不止一个来源完成的。
与更早的泄露交叉比对(2025 年 6 月)
合并了 2025 年 6 月更早的一份 Exoliner 数据库导出,用来补足面板导出缺失的部分:数千个账号邮箱、Discord ID、关联的 Roblox ID、邮箱验证标记,以及账号页面现在显示的确切注册日期。
为什么会发生
一项针对 Exoliner 面板和 API 的独立安全评估发现,任何员工级别的账号都可以执行不留审计记录的平台范围操作,没有导出限制,也没有审计警报。下方数据仅涉及面板和 API。评估指出,主网站还存在其他问题,此处未列出。
为什么会发生
评估发现外部人员无法进入。其记录的风险在于影响范围:任何持有员工级别的账号都可以对平台范围的配置执行不留审计记录的写入操作,其中一项可能让所有用户的执行器同时失效。
评估发现了什么
每项发现均来自对 Exoliner 面板和 API 的评估描述。不涵盖主网站,评估指出主网站还存在其他问题。
严重
1未经审计的全局偏移量覆盖
C-1评估报告称,PUT /v1/staff/offsets 接受任何员工令牌,没有所有者限制,也不写入审计记录。一次请求就替换了每个用户的执行器所依赖的偏移量。测试中,偏移量总数一次调用就从 401 变为 1,没有预览、确认或审批。
高
3任何支持工单记录都可凭 ID 读取
H-1据报告,GET /v1/staff/tickets/{id}/transcript 按连续整数返回任意工单,不检查归属,暴露完整的私人对话,包括 Discord 用户 ID 和附件。
员工可删除脚本
H-2据报告,DELETE /v1/scripts/delete 在员工令牌下返回成功,不检查归属,可按 ID 删除任意脚本,没有软删除,也没有审计记录。
整表枚举没有速率限制
H-3评估报告称,在 25 秒内通过 135 次请求导出了整个用户表(13,483 条记录),没有出现任何速率限制响应。
中
5特权写入操作没有二次 2FA 验证
M-1据报告,偏移量、执行、警告、游戏开关、最大玩家数、AI 审核设置、审核情报和聊天禁言都只需一个普通 bearer 令牌即可,因此被盗的会话无需第二重验证。
30 天令牌,没有强制的终止开关
M-2据报告,令牌恰好持续 30 天,没有刷新端点;而能让单个操作撤销所有会话的 authVersion 字段虽会返回,但服务器端并未强制执行。
任何员工都可修改反检测规则
M-3据报告,存放 Exoliner 反检测规则的审核情报端点接受任何员工账号的创建和删除操作,因此这些规则可能被禁用或损坏。
已删除的私信对员工可见
M-4据报告,聊天审计端点会向任何员工完整显示已删除的私信,包括消息内容、目标用户 ID 以及删除消息的员工。
员工级别的数据暴露
M-5据报告,员工端点会泄露收入估算、确切的等级分布、Discord ID、完整的审核日志以及各地图的延迟和服务器数量。
低
5前端内容安全策略薄弱
L-1据报告,前端策略允许 unsafe-inline 和 unsafe-eval 且没有 nonce,因此任何跨站脚本漏洞都可能从本地存储中读取员工会话。
用户搜索失效
L-2据报告,用户端点的所有搜索参数都被忽略,始终返回相同的未过滤首页,因此员工可能在对错误的账号进行操作。
公开的信息泄露
L-3据报告,未经认证的健康检查和统计端点会泄露运行时间和实时总数,统一的 404 响应内容还使路由表可被枚举。
类型混淆导致的服务器错误
L-4据报告,非字符串输入会在多个端点引发未处理的 500 错误。错误响应内容保持干净,因此这更像可靠性问题,而非信息泄露。
重复的后端主机名
L-5据报告,两个主机名由同一进程提供相同的路由和授权,使攻击面翻倍,并让按主机设置的白名单可通过另一个主机名绕过。
想看可搜索的记录? 浏览账号