yumoqing
f5b9d697b3
该端点被授权给 any 角色且文件内零鉴权：任何未登录者裸调 URL 即可创建 superuser/111111（角色 owner.superuser+admin）→ 登录后完全接管平台 → 经 agent run_shell/终端可达 RCE。等同奇安信 QVD-2026-57410(DSH 9.8) 危害。 超管初始化改为部署期本地 CLI（宿主应用 scripts/create_superuser.py）， 不再经 HTTP 暴露。load_path.py 同步移除该路径注册。