关键漏洞信息 漏洞概述 类型: Server-Side Request Forgery (SSRF) via Favicon Extraction CVE ID: CVE-2025-59344 CVSS v3 基本指标: - 严重性: High (7.7/10) - 攻击向量: Network - 攻击复杂度: Low - 所需权限: Low - 用户交互: None - 范围: Changed - 机密性影响: High - 完整性影响: None - 可用性影响: None 影响范围 受影响版本: <= 0.23.0 修复版本: 0.23.1 受影响的包: - aliasvault/aliasvault (Docker) - ghcr.io/aliasvault/aliasvault (Docker) - ghcr.io/aliasvault/api (Docker) - ghcr.io/lanedirt/aliasvault-api (Docker) 描述与影响 描述: 在AliasVault API的favicon提取功能中存在SSRF漏洞。提取器获取用户提供的URL，解析返回的HTML，并跟随 。 影响: - 允许攻击者访问回环（127.0.0.0/8）和RFC1918私有网络。 - 泄露图像内容（如favicon、PNG/JPEG）。 - 进行有限的网络侦察。 警告 受影响环境: 仅影响可从公共互联网访问且启用公共用户注册的自托管AliasVault实例。 修复措施 修复版本: AliasVault 0.23.1 建议: 升级到最新版本并禁用公共账户注册。 时间线 2025-09-16 00:10 UTC: 漏洞报告给AliasVault维护者 2025-09-16 11:44 UTC: 修复并公开发布在AliasVault 0.23.1 2025-09-19 10:30 UTC: 安全公告发布 致谢 Filippo Decortes (Bitcube Security)负责披露此漏洞。