[Bug] 越权漏洞2

[ls2345]

Contact Information

3346947459@qq.com

MaxKB Version

2.10.4

Problem Description

普通用户通过调用 /admin/api/workspace/{workspace_id}/user_member 接口，同样可以获取包含管理员在内的所有用户列表（含邮箱、昵称、角色等敏感字段），存在越权问题。接口未对调用者的角色进行权限校验。

Steps to Reproduce

创建一个普通用户账号 A，登录后获取 Authorization 令牌。
使用该令牌调用 GET /admin/api/workspace/{workspace_id}/user_member 接口。
观察返回结果，确认能否获取到管理员及其他用户的详细信息（邮箱、昵称、角色）。

The expected correct result

No response

Related log output

Additional Information

No response

[Shenguobin0102]

您好，这个接口获取的是当前工作空间下的所有普通用户角色的成员，这是为搜索业务服务的，所以必须保留id、nick_name、roles信息，可以隐藏掉邮箱信息。