Hugging Face 聊天管理 API 曝出鉴权绕过漏洞

安全研究员 v12sec 披露，Hugging Face 聊天产品的 POST /admin/export 管理接口可通过 URL 编码绕过鉴权。将 /admin/export 改为 /%61dmin/export 后，原本返回 401 Unauthorized 的请求会被以 202 Accepted 接受，并触发对所有用户私有聊天记录的批量内部导出。该问题源于路由与规范化解析不一致。