关键信息 信息 软件类型: Web App 软件名称: Vvweb 受影响版本: 1.0.5 软件供应商: Vvweb 软件链接: https://github.com/givenz/Vvweb 严重性: 中等 CVSS评分: 5.3 CVE链接: 待定 受影响资产: 163+ 发现日期: 2025年1月3日 PoC漏洞利用: N/A 描述 问题: 攻击者可以通过传递任意URL来执行服务器端请求伪造（SSRF），并用于内部端口扫描。 访问权限: 编辑员或具有修改帖子或页面权限的任何人。 复现步骤 登录作为编辑员，打开以下端点: 选择一个帖子，在“设计”模式下进行拖放操作，可能会得到类似这样的端点: 简化URL: 修改URL以执行SSRF，例如: 端口扫描: 更改端口80为不存在的端口，如9999，会得到错误提示。 测试内部端口扫描: 创建一个虚拟PHP服务器，并发送请求，可以看到请求在PHP CLI中。 概念验证（PoC）视频 提供了视频链接和截图，展示如何复现漏洞。