HostBill CVEs-2025 漏洞总结 漏洞概述 HostBill 管理面板存在服务端验证缺失漏洞，允许管理员绕过强制性的客户端注册字段限制。该漏洞通过两种途径触发： 1. CSV 导入：在导入客户端数据时，应用未对 CSV 文件中的数据进行服务端验证，导致可以创建无效或格式错误的客户端记录。 2. 请求篡改：在编辑注册字段配置时，攻击者可以通过修改请求参数（如 ），将原本不可编辑的强制字段（如用户名、密码）修改为可编辑状态。 影响范围 受影响组件：HostBill Admin Panel（管理面板）、Client Import（CSV 导入）、Registration Field Management（注册字段管理）。 CVSS 评分：3.9 后果：可能导致无效、格式错误或包含缺失值的客户端记录被创建，或者强制字段被意外修改。 修复方案 修复状态：已在 2025年12月5日 发布的版本中修复。 修复建议： 1. 在客户端注册和 CSV 导入流程中，实施严格的服务端验证，确保所有必填字段和格式约束得到强制执行。 2. 对注册字段配置接口增加服务端授权和验证，防止通过篡改请求参数修改受保护的强制字段。 复现步骤 (POC) Case 1: 通过 CSV 导入绕过验证 1. 登录 HostBill 管理面板。 2. 导航至 Manage Clients -> Import Clients (CSV)。 3. 准备一个包含无效或缺失值（如空邮箱、格式错误的用户名、缺失密码）的 CSV 文件。 4. 上传该 CSV 文件。 5. 观察客户端是否在没有验证错误的情况下成功创建。 Case 2: 通过请求篡改绕过强制字段限制 1. 登录 HostBill 管理面板。 2. 导航至 Settings -> Registration Fields**。 3. 使用代理工具（如 Burp Suite）拦截编辑注册字段时的请求。 4. 修改请求中的 参数，使其指向一个强制字段（例如用户名或邮箱）。 5. 转发请求。 6. 观察该强制字段是否被成功修改为可编辑状态。