漏洞关键信息总结 漏洞概述 该漏洞涉及 Apache 模块的 端点。该端点被公开访问且无需任何身份验证,导致敏感信息泄露。具体泄露内容包括: 认证与应用数据:查询参数中的认证令牌(user_token)、内部API端点(如 )、实时用户活动(API调用)。 用户信息暴露:客户端IP地址、活跃用户请求及行为(可实时追踪用户活动)。 服务器与基础设施信息:服务器配置详情,包括服务器版本(Apache Ubuntu)、MPM(prefork)、服务器运行时间、负载及请求统计信息。 影响范围 受影响版本:11.0.5 修复版本:25.0.0 CVE ID: CVE-2026-35185 弱点分类 (Weaknesses): CWE-200, CWE-284, CWE-522, CWE-532 修复方案 将 HAXIam (haxtheweb) 包更新至 25.0.0 或更高版本。 POC (概念验证) 1. 导航至 端点。 2. 在不进行身份验证的情况下观察页面。 3. 确认以下信息暴露: Server version and OpenSSL version Client IP addresses Live HTTP requests API endpoints and user_token values 示例观察到的请求/响应内容:**