MeterSphere的一次越权审计

1 MeterSphere简介

MeterSphere是一个一站式开源持续测试平台，它提供了测试跟踪、接口测试、UI测试和性能测试等功能。它全面兼容JMeter、Selenium等主流开源标准，助力开发和测试团队实现自动化测试，加速软件的高质量交付。MeterSphere 的特点包括开源、一站式服务、全生命周期支持、持续测试能力以及团队协作支持。

MeterSphere的技术栈包括后端Spring Boot、前端Vue.js、中间件MySQL和Kafka、基础设施Docker和Kubernetes，以及测试引擎JMeter。

MeterSphere 提供了多租户、多角色的管理模型，用户可根据所在团队的实际情况进行灵活的租户体系映射。

• 系统：每个独立部署的 MeterSphere 即称为一套系统。
• 系统级角色：角色的权限范围为整个系统，常见的角色如系统管理员、系统成员，可管理整个系统内的租户、用户及测试资源，同时可变更修改系统级配置参数。
• 组织：MeterSphere 中的一级租户，可映射为不同的部门或者产品线。
• 组织级角色：角色的权限范围限定在某个组织当中，常见的角色如组织管理员及组织成员，可在组织中创建项目、发起测试、查看测试报告等。
• 项目：以项目纬度管理各种类型测试数据，各个项目间数据隔离。
• 项目级角色：角色的权限范围限定在某个项目当中，常见的角色如项目管理员、项目成员，可在项目中创建、修改、执行测试计划、功能测试用