关键漏洞信息 漏洞概述 标题: Unauthenticated SSRF with HTTP Response Reflection in OIDC Flow 严重性: High (8.6/10) CVE ID: CVE-2025-52477 CVSS v3 基础指标: - 攻击向量: Network - 攻击复杂度: Low - 所需权限: None - 用户交互: None - 范围: Changed - 机密性影响: High - 完整性影响: None - 可用性影响: None 影响版本与修复版本 受影响版本: <= v0.5.2 修复版本: v0.5.3 描述 摘要: Octo-STS 版本在 v0.5.3 之前存在未认证的 SSRF 漏洞，通过滥用 OpenID Connect 令牌中的字段。恶意令牌可以触发内部网络请求，这些请求可能会反映包含敏感信息的错误日志。 修复措施: 升级到 v0.5.3 以解决此问题。该版本包括对输入进行清理和日志脱敏的补丁。 引用 GHSA-h3qp-hwvr-9xcq b3976e3 0f177fd 致谢 报告者: @vicevirus 修复开发者: cpanato, mgreau 协调员: eslerm