文件上传权限有漏洞

[epoko]

若把文件夹设置成可以上传不可以删除，然后手动上传一个包含upload: true delete: true的.ghs.yml 文件进去，文件夹权限就会被改变，从而可以上传删除整个文件系统

[codeskyblue]

优秀。这都被你发现了

[sheetung]

试了试还真是，因为用了docker直接安装版本的，然后想隐藏系统文件比如“@...”，一直找不到 .ghs.yml 就试着写了个上传，结果还真可以。 解决这个的办法直接禁用上传了只有。