关键漏洞信息 漏洞概述 CVE ID: CVE-2025-15104 CVSS v4.0 基础分数: 6.9 漏洞名称: Nu Html Checker (validator.nu) - 限制绕过漏洞，允许本地 SSRF 发现者: Oscar Uribe, Fluid Attacks 公开日期: 2026年1月13日 漏洞描述 影响: 该漏洞允许远程攻击者绕过限制，使服务器执行对内部资源（包括本地主机服务）的任意HTTP/HTTPS请求。 攻击向量: 1. 通过 URL参数直接进行SSRF。 2. 通过XML外部实体进行SSRF（当使用 解析器时）。 安全控制不足: - 基于主机名的本地主机阻止：仅阻止像 和 这样的字符串，但不阻止通过DNS解析为私有/回环IP地址的域名。 - 端口过滤：只允许80、81、443和大于1024的端口，但许多现代服务运行在高编号端口上。 证据与验证 概念验证 (PoC): 补充信息 系统信息: - 受影响软件: Nu Html Checker (vnu) - 版本: 最新版本 - 操作系统: 任何系统