dsh-vision-bridge

POST /vision-bridge/config 把任意字符串写入 apiKeyEnv（clean[key] = patch[key]，988 行）并接受任意 baseUrl，随后 /vision-bridge/test 以 'Authorization': `Bearer ${apiKey}`（172 行）请求该地址；该值来自 DSH 凭据库（335 行 state.credentials.resolve）或 process.env，因此调用者可指定无关机密（如 AWS_SECRET_ACCESS_KEY 或其它 Provider 的凭据引用）并让其被发送到攻击者控制的主机。仅由 sameOrigin() 保护，任何非浏览器本地客户端均可触达。

execute() 直接把 args.path 交给 loadImageSource；没有扩展名/类型白名单，guessMime 对未知扩展名默认返回 'image/png'（142 行），内容被 base64 内联进外发请求（609 行）或作为 attachment 发给配置的 Provider。被提示注入的模型可请求 ~/.ssh/id_rsa、~/.dsh/settings.yaml、.env 等文件并将内容传出主机；该路径也没有大小上限（25MB 的 PASTE_MAX_BYTES 只作用于粘贴路由），超大文件会导致内存耗尽。

writeSettingsSection() 原样序列化字符串值；包含换行的值（如 baseUrl = "https://x\notherKey: value"）会插入无缩进行，即在宿主 settings.yaml 顶层注入新键，并被写回磁盘（403 行）。这些值来自 POST /vision-bridge/config，该路由只对 providerMode/timeout 做语法校验，其余字段原样复制（988 行），等于让配置路由获得对整个宿主设置文件的写入能力。

所有写路由（paste、config POST、test）都接受没有 Sec-Fetch-Site 头的请求，旧版浏览器与任何非浏览器本地客户端因此可绕过唯一的 CSRF 防护；结合上述问题，这正是配置写入与凭据重定向可达的前提。