TDLM/HMCL
3
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

SEC: openLink 无 URL scheme 白名单（候选） #12

New Issue
Closed
opened 2026-11-09 14:24:05 +00:00 by layue13 · 1 comment
layue13 commented 2026-11-09 14:24:05 +00:00
Owner
Copy link
Copy source

调研编号：扫描 2026-11-09 / G4（存疑）

现象

FXUtils.openLink / DesktopUtils.openLink 把任意字符串交给系统 URL 处理器（Windows FileProtocolHandler / macOS open / Linux 浏览器），未见 scheme 白名单。Authlib 账号页等会把远端 links 点进该路径。file: 等其它 scheme 在各 OS 的实际危害需实测。

危害类与优先级

  • 危害类：SEC
  • 优先级：p3

证据（生效源码）

  • 载体：TDLM/HMCL ＋ 分支 origin/main ＋ pin/commit bdacd654734c3665995a8c779da34139b9bdf373
  • 位置：HMCL/.../FXUtils.java:600-618；HMCLBoot/.../DesktopUtils.java:44-60
  • 关键原文：
// FXUtils.java:600-618
public static void openLink(String link) {
    if (link == null)
        return;

    String url = NetworkUtils.encodeLocation(link);
    thread(() -> {
        try {
            if (OperatingSystem.CURRENT_OS == OperatingSystem.WINDOWS) {
                Runtime.getRuntime().exec(new String[]{"rundll32.exe", "url.dll,FileProtocolHandler", url});
                return;
            } else if (OperatingSystem.CURRENT_OS == OperatingSystem.MACOS) {
                Runtime.getRuntime().exec(new String[]{"open", url});
                return;
            } else {
                for (String browser : linuxBrowsers) {
                    Path path = SystemUtils.which(browser);
                    if (path != null) {
                        try {
                            Runtime.getRuntime().exec(new String[]{path.toString(), url});
                            return;
  • 上游状态：未修

触发与复现

  • 触发条件：用户点击来自远端元数据的链接；以用户点击为主。
  • 复现程度：未验证（仅形状相同——此时本 issue 是候选，别派单）
  • 包内相关性：模块 n/a／sides client／默认配置可达 否（需点击）

落点

  • 主仓：TDLM/HMCL → HMCL/.../FXUtils.java:600

范式

引证

  1. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCL/src/main/java/org/jackhuang/hmcl/ui/FXUtils.java#L600-L618
  2. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLBoot/src/main/java/org/jackhuang/hmcl/DesktopUtils.java#L44-L60
  3. 范式 G4 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md

来源

  • 线索类型：内部代码审查（无外部报障）
  • 可解析指针：FXUtils.java:600-618；commit bdacd654734c3665995a8c779da34139b9bdf373
  • 来源标签：origin/scan
**调研编号**：扫描 2026-11-09 / G4（存疑） ## 现象 `FXUtils.openLink` / `DesktopUtils.openLink` 把任意字符串交给系统 URL 处理器（Windows `FileProtocolHandler` / macOS `open` / Linux 浏览器），未见 scheme 白名单。Authlib 账号页等会把远端 `links` 点进该路径。`file:` 等其它 scheme 在各 OS 的实际危害需实测。 ## 危害类与优先级 - 危害类：`SEC` - 优先级：`p3` ## 证据（生效源码） - 载体：`TDLM/HMCL` ＋ 分支 `origin/main` ＋ pin/commit `bdacd654734c3665995a8c779da34139b9bdf373` - 位置：`HMCL/.../FXUtils.java:600-618`；`HMCLBoot/.../DesktopUtils.java:44-60` - 关键原文： ```java // FXUtils.java:600-618 public static void openLink(String link) { if (link == null) return; String url = NetworkUtils.encodeLocation(link); thread(() -> { try { if (OperatingSystem.CURRENT_OS == OperatingSystem.WINDOWS) { Runtime.getRuntime().exec(new String[]{"rundll32.exe", "url.dll,FileProtocolHandler", url}); return; } else if (OperatingSystem.CURRENT_OS == OperatingSystem.MACOS) { Runtime.getRuntime().exec(new String[]{"open", url}); return; } else { for (String browser : linuxBrowsers) { Path path = SystemUtils.which(browser); if (path != null) { try { Runtime.getRuntime().exec(new String[]{path.toString(), url}); return; ``` - 上游状态：未修 ## 触发与复现 - 触发条件：用户点击来自远端元数据的链接；以用户点击为主。 - 复现程度：未验证（仅形状相同——此时本 issue 是候选，别派单） - 包内相关性：模块 n/a／sides `client`／默认配置可达 否（需点击） ## 落点 - 主仓：`TDLM/HMCL` → `HMCL/.../FXUtils.java:600` ## 范式 - 命中范式：G4 信任边界（https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md）——候选 ## 引证 1. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCL/src/main/java/org/jackhuang/hmcl/ui/FXUtils.java#L600-L618 2. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLBoot/src/main/java/org/jackhuang/hmcl/DesktopUtils.java#L44-L60 3. 范式 G4 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md ## 来源 - 线索类型：内部代码审查（无外部报障） - 可解析指针：`FXUtils.java:600-618`；commit `bdacd654734c3665995a8c779da34139b9bdf373` - 来源标签：`origin/scan`
layue13 added the
priority
p3
area/security
type
security
origin/scan labels 2026-11-09 14:24:05 +00:00
layue13 commented 2026-11-09 21:53:21 +00:00
Author
Owner
Copy link
Copy source

Fixed on main via PR #14 — openLink / DesktopUtils allow only http/https/mailto schemes.

Merge: #14
Commit: c4240a24bf

Fixed on `main` via PR #14 — `openLink` / DesktopUtils allow only `http`/`https`/`mailto` schemes. Merge: https://git.nest.potatolab.uk:8443/TDLM/HMCL/pulls/14 Commit: c4240a24bf7635a26d6e45721c77b33d94bcb252
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
area/build
构建系统、编译与 CI。
 area/client
仅客户端（渲染除外）
 area/compatibility
跨模组、跨版本或外部接口兼容行为。
 area/config
默认配置、配方、日志噪音
 area/integration
跨仓库 API、工具链或功能联动问题。
 area/lifecycle
实体、区块、世界对象的加载、卸载、持久化与资源所有权。
 area/lighting
光照更新、传播队列及其与区块卸载、渲染路径的行为。
 area/network
网络包与同步
 area/performance
运行时 CPU、内存、分配、网络或存盘开销问题。
 area/persistence
NBT、存档、实体/区块加载卸载与生命周期
 area/release
版本、Maven 坐标、制品发布与发布链路。
 area/render
渲染、光照、着色器
 area/security
权限边界、服务端校验、反序列化或其他安全风险。
 area/server
仅服务端 tick/逻辑
 area/test
测试实现、覆盖与验证设施
 origin/scan
组织内部审计扫描产出
 origin/upstream-sync
日扫上游 GTNH 发现的待吸收改动
priority
p0
最高处理优先级：广泛崩溃、数据或权限风险，或关键发布通道被阻断且无绕行方案。
priority
p1
高处理优先级：核心功能明显受损或影响范围较大，近期安排处理。
priority
p2
常规处理优先级：影响范围有限且有可行绕行，纳入计划处理。
priority
p3
低处理优先级：影响轻微或仅涉及边界场景，有空再处理。
resolution
duplicate
与另一 issue 重复
resolution
fixed
已有合并的 PR/commit 修复
resolution
invalid
复核后不成立/无法复现/无需处理
resolution
recorded
记录类 issue，记录完成即关闭
resolution
wontfix
评估后决定不修
type
audit
扫描、覆盖普查、设计评估等记录类，本身不是待修缺陷
type
chore
构建、CI、发布、依赖、版本、上游同步、清理
type
defect
功能错误、崩溃、数据错乱（不含性能与安全专项）
type
feature
新功能或联动，当前行为不算故障
type
perf
CPU/内存/分配/网络/存盘开销问题
type
question
待答复/待决策，尚未形成实现任务
type
security
权限越界、复制/刷物品、绕过领地、服务端校验缺失、反序列化
No labels area/security origin/scan
priority
p3
type
security
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
chowkim layue13 liuhao
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: TDLM/HMCL#12