Adobe CQ 5接受任意POST请求

Question

    {
        "changes": [],
        "referer": "http://www.example.com/content/somesite/en.html",
        "path": "/content/somesite/en",
        "location": "/content/somesite/en",
        "parentLocation": "/content/somesite",
        "status.code": 200,
        "status.message": "OK",
        "title": "Content modified /content/somesite/en"
    }

$.ajax({
    url: 'http://www.example.com/content/fasfas',
    type: 'post',
    data: {},
    headers: {
        Accept: 'application/json',
    },
    dataType: 'json',
    success: function (data) {
        console.info(data);
    }
});

Answer 1

这是没有采取必要步骤保护AEM服务器的问题。Adobe提供了一个安全检查表，以确保AEM安装在部署时是安全的。类似的安全检查表也提供给dispatcher。

至于你的情况，很少有明显的问题

1. 调度程序中的筛选器配置不会拒绝POST请求，从而允许它们通过调度程序并到达AEM实例。
2. AEM publisher中的匿名用户似乎不仅仅拥有存储库的读取权限，从而允许他使用POST请求对回购进行更改。
3. 引用器筛选器配置也允许来自外部系统的请求（您现在阻止了该请求）。