CVE-2024-58303: CWE-1336：Flarum FriendsofFlarum Pretty Mail中模板引擎特殊元素的不当中和（SSTI）
严重性：高 类型：漏洞
FoF Pretty Mail 1.1.2 包含一个服务器端模板注入漏洞，该漏洞允许管理员用户向电子邮件模板中注入恶意代码。攻击者可通过插入精心构造的模板表达式，在电子邮件生成期间触发任意代码执行，从而执行系统命令。
技术摘要
CVE-2024-58303 是在 Flarum 论坛软件的插件 FriendsofFlarum Pretty Mail 1.1.2 版本中发现的服务器端模板注入漏洞。该漏洞源于模板引擎（CWE-1336）中使用的特殊元素未得到适当中和，使得管理员用户可以向电子邮件模板中注入精心构造的模板表达式。当这些模板在电子邮件生成过程中被处理时，注入的代码会在服务器上执行，从而实现任意系统命令执行。此类漏洞尤其危险，因为它可能导致系统完全沦陷、数据泄露或服务中断。
CVSS 4.0 评分为 8.6，反映了其高度严重性。其攻击向量为网络，攻击复杂度低，无需用户交互，但需要高权限（管理员访问权限）。该漏洞无需绕过身份验证，但依赖于攻击者拥有论坛后端的管理员权限。目前尚无补丁或公开的利用程序，但由于其潜在影响，风险仍然很大。该漏洞仅影响 Pretty Mail 扩展的 1.1.2 版本，因此使用其他版本或未使用此插件的组织不受影响。此缺陷凸显了允许特权用户提供动态模板内容而未进行充分清理或沙箱处理的风险。
潜在影响
对于欧洲组织而言，此漏洞对使用 Flarum 及 Pretty Mail 扩展的在线社区平台安全构成重大风险。拥有管理员权限的攻击者可以在服务器上执行任意命令，可能导致数据泄露、论坛被篡改或电子邮件通信中断。这可能危害用户数据的机密性和完整性，损害组织声誉，并导致运营中断。鉴于 Flarum 在德国、法国和英国等欧洲国家广泛用于社区互动，其影响可能很广泛。那些管理访问控制薄弱或管理界面暴露的组织尤其脆弱。执行系统命令的能力还可能促进网络内部的横向移动，扩大攻击范围。尽管目前尚无已知的公开利用程序，但该漏洞的高严重性评分以及管理员易于利用的特性，使其成为需要紧急处理的关键风险。
缓解建议
- 立即将 Flarum 后端的管理员访问权限限制为仅限可信人员，并强制执行强身份验证和网络分段。
- 在安全补丁发布之前，禁用或限制 Pretty Mail 中电子邮件模板定制功能的使用。
- 监控并审核与电子邮件模板编辑相关的管理员操作，以发现可疑活动。
- 如果可能，对模板输入实施应用级别的输入验证和清理。
- 定期更新 Flarum 及其扩展，一旦有安全补丁发布立即应用。
- 考虑部署带有自定义规则的 Web 应用程序防火墙，以检测和阻止可疑的模板注入模式。
- 对论坛管理员进行安全意识培训，告知他们将不受信任的内容注入模板的风险。
- 制定事件响应计划，以便在怀疑发生漏洞利用时快速隔离和修复受损系统。
受影响国家
德国、法国、英国、荷兰、意大利
技术详情
数据版本： 5.2 分配者简称： VulnCheck 保留日期： 2025-12-11T11:49:20.718Z CVSS 版本： 4.0 状态： 已发布 威胁 ID： 693b3df322246175c6a47135 添加到数据库： 2025年12月11日，下午9:56:03 最后丰富数据： 2025年12月11日，下午10:11:06 最后更新： 2025年12月12日，上午2:37:59 浏览次数： 9
来源： CVE Database V5 发布日期： 2025年12月11日，星期四