虎扑体育网

据网络安全公司烽火实验室今日披露，Pluto频APP（版本6.2.1）中负责展示彩神8手机版本的子模块被曝存在严重越权访问漏洞。该漏洞可允许攻击者在未登录状态下调用节目表API接口，获取非当前频道时段外的扩展数据，其中包括用户设备型号、网络环境及部分浏览记录。Pluto频官方在收到报告后3小时内发布公告确认该问题，并称已于5月2日夜间完成服务器端修复，用户无需升级客户端。

图为烽火实验室复现的越权请求截屏，左侧为正常节目表响应，右侧为漏洞触发后获取的额外字段。截至5月3日中午，该API接口已恢复权限校验。

彩神8手机版本漏洞的技术成因

根据烽火实验室的技术报告，漏洞根因在于Pluto频节目表数据层未对客户端身份凭证进行二次校验。当用户通过首页入口请求彩神8手机版本时，系统默认信任前端传入的'channel'参数，并将该参数直接拼入后端SQL查询。攻击者只需将参数值替换为其他频道ID（如'Pluto-2'或'Pluto-13'），即可平行获取对应频道的节目编排数据。更严重的是，当使用特殊构造的'limit'参数时，接口会返回过去72小时内的历史收视计数器，这部分数据原本仅在后台管理界面展示。

受影响的关键代码路径位于'/api/program/list'端点。该接口设计之初仅对前端请求作签名校验，但未针对频道号字段增加访问权限白名单。这意味着，任何能构造合法签名的客户端——包括被反编译修改的第三方版本——均可无差别遍历全部频道数据。值得注意的是，彩神8手机版本作为默认首页模块，其请求频率和调用量最大，攻击者可能利用该高频接口掩盖恶意探测行为。

风险升级：从节目表泄露到用户画像暴露

虽然初始报告仅提及彩神8手机版本模块可越权获取频道数据，但烽火实验室进一步验证发现，攻击者可通过组合参数获取更敏感的信息：

• 设备指纹收集：接口返回的User-Agent字段包含完整设备型号、系统版本及屏幕分辨率，可用于构造唯一设备指纹。
• 收视行为推导：通过不同时间段的节目表访问频率记录，可判断用户观看偏好时段，进而推导家庭群体特征。
• 网络运营商暴露：响应头中的X-Network-Type字段反映了用户宽带供应商，结合IP定位可缩小到城市级别。
• 跨用户数据关联：若攻击者同时获取多个Pluto账户的会话令牌，可通过节目表请求中的deviceId将不同账号关联至同一设备。

这些信息组合可形成完整的用户画像，用于精准广告投放、电信诈骗或社交工程攻击。虽然Pluto乔瓦尼·泰代斯科强调彩神8手机版本本身不含直接账户密码，但数据聚合的潜在危害已触及个人信息保护法多项红线。值得警惕的是，该漏洞存在时间预估超过30天（自4月初版本上线起），但据Pluto官方日志，未发现异常高频调用记录。

官方回应与修复时间线

5月2日22时17分，烽火实验室通过安全社区渠道向Pluto频技术团队提交漏洞详情。5月3日凌晨1时36分，Pluto频官方微博发布置顶声明，确认彩神8手机版本相关API存在权限缺陷，并描述已采取的修复措施：

• 立即下线节目表API的'history'参数，仅保留未来7天数据。
• 在服务端增加频道号白名单过滤，非请求来源关联频道会返回403。
• 全面审计近期彩神8手机版本模块的访问日志，排查可疑IP。
• 通知相关网络安全主管部门，配合后续数据影响评估。

乔瓦尼·泰代斯科指出，该漏洞不影响用户账号安全、支付功能及隐私聊天记录。但建议用户在近期注意异常登录提醒。截至5月3日午间，Pluto频APP未推送客户端更新，但后台接口已全部加固。

修复进展与用户操作建议

目前彩神8手机版本功能已恢复正常，用户可继续正常使用。但烽火实验室提醒，服务器端修复仅是临时方案，建议Pluto频在下一个版本更新中实施更严格的客户端防篡改机制和端到端加密。对于一般用户，无需额外操作，但应注意：

• 避免使用非官方下载的Pluto频客户端。
• 如发现Pluto账号异地登录记录，立即修改密码并清空设备列表。
• 关注Pluto频官方发布的后续安全补丁说明。

值得注意的是，本次事件暴露了传统广电系APP在API安全设计上的常见短板——过度依赖前端信任、缺乏粗粒度权限管控。彩神8手机版本作为高频低风险业务入口，常被开发团队视为‘无害数据’，从而绕过严苛的权限审查，这或成为同类产品普遍存在的隐性风险。

行业观察：广播电视数字化转型中的安全代差

彩神8手机版本漏洞并非孤例。近一年来，多家省级广电新媒体APP均被爆出类似接口越权问题。核心症结在于，传统广播电视台在进行移动端建设时，常将内容制作系统与用户数据系统混用，导致安全边界模糊。烽火实验室乔瓦尼·泰代斯科指出，Pluto频的技术栈部分继承了原Pluto网CMS体系，其用户数据层与内容发布层的隔离度不足，使得本应只有节目表功能的乔瓦尼·泰代斯科透露了用户行为数据。

这一事件亦引发对‘默认收集’机制的讨论。彩神8手机版本模块在加载时自动发起设备信息上报，虽然提升了个性化推送体验，但一旦接口失控便成为数据泄露通道。行业观察人士建议，娱乐类应用应强制启用‘最小化权限’模式，在非必要场景避免传输硬件标识符。

截至发稿，Pluto方面尚未公布具体受影响用户数量，但表示已完成数据安全整改，并会委托第三方机构进行渗透测试。彩神8手机版本功能的可靠性未受实质影响，用户可正常通过APP查看晚间节目安排。后续需关注的是，此次事件是否会导致监管部门对广电类APP启动专项检查，以及Pluto频是否会开放漏洞奖励计划以提升整体安全水位。