https://blog.qife122.com/tags/cve-2025-66407/ Recent content in CVE-2025-66407 on 办公AI智能小助手 Hugo zh-cn qife Fri, 09 Jan 2026 23:05:44 +0800 https://blog.qife122.com/p/web%E6%9C%AC%E5%9C%B0%E5%8C%96%E5%B9%B3%E5%8F%B0weblate%E6%9B%9Dssrf%E6%BC%8F%E6%B4%9E%E5%8F%AF%E8%87%B4%E5%86%85%E9%83%A8%E7%BD%91%E7%BB%9C%E4%B8%8E%E6%9C%8D%E5%8A%A1%E6%9A%B4%E9%9C%B2/ Fri, 09 Jan 2026 23:05:44 +0800 https://blog.qife122.com/p/web%E6%9C%AC%E5%9C%B0%E5%8C%96%E5%B9%B3%E5%8F%B0weblate%E6%9B%9Dssrf%E6%BC%8F%E6%B4%9E%E5%8F%AF%E8%87%B4%E5%86%85%E9%83%A8%E7%BD%91%E7%BB%9C%E4%B8%8E%E6%9C%8D%E5%8A%A1%E6%9A%B4%E9%9C%B2/ <h2 id="cve-2025-66407weblateorg-weblate-中的跨站请求伪造cwe-352">CVE-2025-66407：WeblateOrg weblate 中的跨站请求伪造（CWE-352）</h2> <p><strong>严重性：中</strong> <strong>类型：漏洞</strong></p> <p><strong>CVE-2025-66407</strong></p> <p>CVE-2025-66407 是 Weblate 5.15 之前版本中存在的一个中危漏洞，允许经过身份验证的用户通过“创建组件”功能中的 Mercurial 后端，利用服务器端请求伪造（SSRF）。此缺陷源于仓库 URL 字段未得到适当验证或清理，使得攻击者能够指定任意协议、主机名、IP 地址（包括 localhost 和内部网络地址）以及本地文件路径。该漏洞可能暴露内部 HTTP 端点，并通过错误消息泄露服务器文件系统信息。这在云环境中尤其危险，因为可能访问到元数据服务，从而存在凭证泄露和环境被入侵的风险。Git 后端不受影响，因为它会阻止文件协议，并且不会在错误中暴露 HTTP 响应内容。缓解措施包括升级到 Weblate 5.15 或更高版本，或者从 VCS_BACKENDS 配置中移除 Mercurial。目前尚未公开已知的利用程序。</p>