@bigk5780/dsh

该前缀路由注册在本地 webServer 上，没有 token、Origin 或 content-type 校验（readJson 对任意请求体直接 JSON.parse）。跨站“简单请求”（mode:'no-cors'、text/plain）不触发预检，因此用户只要访问一个恶意页面，就能盲发 POST /config 把 visionApi.enabled 置真、baseURL 指向攻击者主机、captureFullScreen 置真，再 POST /once；runCycle({force:true}) 跳过 enabled 与是否在玩游戏的检查，describeImage() 会在第二步失败之前就把截图发到攻击者端点。结果是屏幕内容被静默外传到攻击者指定主机，同时 /vision/test 构成盲 SSRF、/once 可无限触发模型花费。本机进程（或 DNS rebinding 页面，后者还能读取 GET /config）则可完全控制。

当用户未配置自定义视觉 API、注册表也探测不到支持图片的候选时（代码注释称这在作者本机是常态），describeImage() 会回落到一个匿名 OVHcloud 端点并把 base64 截图 POST 过去，没有任何确认步骤。该图片是全屏或前台窗口截图，即用户屏幕上的任意内容，会被发送到与用户无关的第三方；且没有单独的开关可以只关掉这条兜底（只在 GET /vision 的诊断信息里被提及）。

publicConfig() 特意对 visionApi.apiKey 脱敏（注释写明“绝不回明文”），但同一个响应里又塞入了 readUserConfig()，即 $DSH_HOME/dsh-game-pet.json 的原文——而 writeUserConfig(accepted) 正是把 accepted.visionApi.apiKey 原样写入该文件。任何能访问该路由的客户端（本机进程、其它插件，或 DNS rebinding 页面）都能拿到明文 Key，既违背插件自身的密钥处理约定，也可被用来盗刷用户额度。

密钥被明文写入用户主目录下的配置文件，未使用系统钥匙串、也没有收紧文件权限；同用户的任意进程（或覆盖 ~/.dsh 的备份/同步工具）都能读到。config.mjs 注释里承认了这一点，但它会放大上面 GET /config 的泄露。