SourceHut 关闭注册也能注册：CVE-2026-121728

📋 概述

安全研究者 Arusekk 在 SourceHut 上找到一个低影响但很典型的逻辑漏洞：站点明明写着「注册已关闭」，前端也不再展示注册表单，但表单处理器还留着。2021 年把注册逻辑从前端 Flask 搬到 GraphQL 后端时，只有错误路径检查了注册开关，happy path 漏掉了。攻击者只要直接 POST /register/step2，带上想要的用户名、邮箱、密码就行；CSRF token 也不用愁，因为 /login 页面拿到的 token 同样能用（它没有按端点限定作用域）。受影响版本 0.56.11 到 0.88.9，至少 10 个实例中招。作者 11 月 2 日披露，11 月 3 日修复并拿到 CVE 编号。