dsh-browser-ops

/plugins/dsh-browser-ops/action 接受任意 JSON 并分发 launch/connect、openUrl、record*、flowEdit、flowDelete、runFlow；/state 返回状态、流程列表与本地 dataDir。处理函数从不校验请求方法、令牌、Origin、Referer 或 Host。任何本机进程，或用户浏览器加载的任意网页，都可向该环回端口 POST（text/plain 属 CORS 简单请求，不会被预检拦截；DNS rebinding 还可读取响应）。后果：启动/接管真实 Chrome、打开攻击者指定 URL、重放已存流程，并读取可能含用户录制时输入的流程元数据与步骤文本。

idOrName 直接来自 HTTP 的 payload.flowId（flowGet/flowDelete/flowEdit/runFlow）及 browser_flow_* 工具的入参，未经归一化即拼接，因此 '../../../../somewhere/config' 会解析为 <该路径>.json：可探测并部分解析机器上任意 JSON 文件。若被穿越读取的文件能解析为流程对象，runFlow 会执行其 steps（含在页面执行脚本的 'evaluate' 步骤，以及任意 URL/ file:// 的 navigate/openTab）；saveFlow/deleteFlow 又以该对象的 id 字段构造路径，因此 id 含穿越的文件可导致 flows 目录外的写入或删除。

browser_eval 的入参（以及 lib/core/replay.js 第 156 行经 page.evaluate(`(${step.expression})()`) 执行的持久化 '{type:"evaluate"}' 流程步骤）会被拼成代码。该函数仅由 Playwright 序列化后在页面内求值，不在 Node 中执行，因此属于页面上下文 JS 执行——与 browser_eval 的既定能力等价，但意味着被操纵的 agent 或置于数据目录外的流程文件（见穿越问题）可在所连接的 Chrome 配置（连接模式下即用户日常配置）中运行任意脚本。

受审源码仅 15 个文件，但入口调用链导入了其中缺失的模块：./tools.js（lib/index.js 第 6 行、lib/http.js 第 7 行）、./core/bridge.js 与 ./core/record.js（lib/core/factory.js 第 4-5 行）、./client.js（package.json exports 声明）。这些文件承载 Chrome 启动参数、CDP 连接逻辑、页面脚本注入（DRAIN_SRC）与 browser_eval 工具封装——正是后门或不安全 spawn 可能出现之处，因此本次判定无法覆盖它们。