【安全咨询】宝塔 Nginx 免费防火墙是否存在自.

【安全咨询】宝塔 Nginx 免费防火墙是否存在自动上传源码和凭据明文传输的问题？环境及补充说明

• 系统：Rocky Linux 9
• 面板：宝塔面板 13 系列
• 插件：Nginx 免费防火墙，显示版本 8.4
• 重要：曾参考第三方兼容性补丁，替换 free_waf_main.py
• 补丁来源：https://zmingcx.com/nginx-free-firewall-patch.html
  

该补丁主要用于修复宝塔面板 13 升级 Python 后产生的日志兼容性问题。因此，目前检查的 Python 文件不一定是 8.4 官方发布的原始文件。
主要疑问静态检查发现以下行为：

• send_baota2() 在 WebShell 扫描匹配规则后，可能把完整文件内容上传至 http://www.bt.cn/api/panel/btwaf_submit。
• getSpiders、addSpider 接口会通过 HTTP 发送 access_key、uid 等信息。
• 部分 Shell 命令直接拼接路径参数，缺少可靠的转义。
• 部分安装流程通过 HTTP 下载外部代码并执行。
  

希望其他用户帮忙确认：原版 8.4 的 free_waf_main.py 是否也存在这些代码？还是第三方兼容补丁保留或引入的？这些上传功能能否关闭？
目前仅有静态代码检查结果，没有证据表明存在恶意后门或已经发生实际数据泄露。

您好，非常感谢反馈和支持！如需咨询宝塔面板相关问题，可通过官方微信客服进行在线咨询。
操作方式：复制下方链接，在微信中打开： https://docs.bt.cn/wechat-service
进入后即可在线与客服沟通。
为提高沟通效率，建议您在微信咨询前先填写以下信息，将信息一并发送给客服，以便客服快速定位您的问题：
问题描述（请尽量详细）：
论坛帖子地址：
操作系统：
面板版本：
感谢您的支持！