还是hark告诉我的，被扫之前赶紧修了原帖(ai整理了下信息)影响范围：1.2.0/1.2.1/1.3.0及其间的rc/beta，最新版仍受影响，官方尚未发布修复版。问题：/action/service异步接口的令牌校验用了松散比较，可被类型绕过；加上方法名不做白名单，无需登录、单个请求即可执行任意PHP代码。挂C