Mealie 容易受到配方导入程序中基于 GET 的 SSRF 的影响 (GHSL-2023-225) (CVE-2024-31991)

CVE编号

CVE-2024-31991

利用情况

暂无

补丁情况

N/A

披露时间

2024-04-20

漏洞描述

Mealie是一款自托管的食谱管理和餐饮规划工具。在1.4.0版本之前，safe_scrape_html函数利用用户可控URL向远程服务器发出请求。根据响应的内容，它将解析内容或将其丢弃。该函数及调用它的其他函数对URL提供的限制或FQDN（即IP地址也可以提供）没有任何限制。由于该函数的返回将根据响应被其调用者不同处理，攻击者可以利用此功能来积极识别本地网络上具有任何IP/端口组合的HTTP(s)服务器。此问题可能导致任何经过身份验证的用户能够映射Mealie服务可以访问的本地网络上的HTTP服务器。请注意，默认情况下，任何用户都可以在Mealie服务器上创建账户，并且默认的[email protected]用户可以使用其硬编码密码。此漏洞已在1.4.0中得到修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/mealie-recipes/mealie/blob/mealie-next/mealie/services/scr...
https://github.com/mealie-recipes/mealie/commit/2a3463b7466bc297aede50046da95...
https://github.com/mealie-recipes/mealie/pull/3368
https://securitylab.github.com/advisories/GHSL-2023-225_GHSL-2023-226_Mealie/

CVSS3评分 4.1

• 攻击路径 相邻
• 攻击复杂度 低
• 权限要求 低
• 影响范围 已更改
• 用户交互 无
• 可用性 无
• 保密性 无
• 完整性 低

CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com