漏洞总结：SuperAGI WebScraperTool SSRF 漏洞 漏洞概述 标题：Full SSRF via WebScraperTool allows authenticated users to access internal services and cloud metadata 描述：SuperAGI 中的 允许经过身份验证的用户通过代理目标向任意 URL 发起服务端 HTTP 请求，且没有任何 URL 验证或 IP 限制。攻击者可以构造代理目标以获取内部网络主机、本地服务或云元数据端点（如 AWS、GCP、Azure）的内容。获取的响应体通过代理执行流返回给用户，构成全（非盲）SSRF漏洞。 影响范围 受影响产品：SuperAGI (Ecosystem: pip) 受影响版本：<= latest (commit c3c1982e7bd6a11cfed53c5a193ea502f924b1b6) 严重程度：High 攻击者权限：任何拥有有效账户（包括最低权限账户）的用户均可利用。 潜在危害： 窃取云凭证（AWS IAM, GCP tokens, Azure tokens）。 扫描内部网络。 访问内部服务（API, 数据库, 管理面板）。 外泄数据（响应内容可达 600 字）。 修复方案 Patched versions：页面未提供具体的修复版本或补丁链接。 POC 代码