关键信息概览 漏洞概述 CVE标识: CVE-2025-46651 漏洞类型: Server-Side Request Forgery (SSRF) 通过HTTP重定向绕过 影响版本: Tiny File Manager v2.6 受影响功能: "从URL上传"功能 受影响产品详情 产品: Tiny File Manager 版本: v2.6 组件: Upload from URL 相关文件: tinyfilemanager.php 漏洞描述 Tiny File Manager允许认证用户通过提供远程URL上传文件。 安全控制机制尝试阻止对localhost和特定受限端口的访问，通过验证用户提供的初始URL。 然而，应用程序依赖于自动跟随HTTP重定向的PHP功能。 由于验证逻辑仅应用于初始URL，而非最终重定向的目标，攻击者可以通过提供一个重定向到内部地址的外部URL来绕过这些限制。 影响 认证攻击者可能滥用Tiny File Manager作为内部HTTP客户端。 可能允许： - 与绑定到localhost或私有IP范围的服务交互 - 访问未外部暴露的内部web接口或API - 通过间接请求行为进行内部网络侦察 - 在云托管环境中访问元数据服务（例如实例元数据端点） 实际影响取决于网络配置和内部服务的可用性。 严重性 CVE ID: CVE-2025-46651 CWE: CWE-918 (服务器端请求伪造) CVSS v3.1基础分数: 8.0 (高) 攻击向量: 网络 所需权限: 低（认证用户） 用户交互: 无 缓解措施 禁用自动HTTP重定向跟随，当获取远程URL时 如果必须支持重定向，手动验证每个重定向目标 解析主机名并阻止对以下地址的请求： - 回环地址 - 私有IP范围 - 链路本地和云元数据IPs 在可能的情况下实现出站网络过滤（出站控制） 披露时间线 2025-11: 漏洞被发现并报告给供应商（无响应） 2026-01: CVE由MITRE分配 2026-01: 公共咨询发布 发现者信息 发现者: Roberto Carlos Luzanilla Sanchez 角色: 独立安全研究员