漏洞总结 漏洞概述 该漏洞涉及在 和 函数中，对直接上传 URL 路径缺少 SSRF（服务器端请求伪造）防护。攻击者可能通过构造恶意 URL 来利用此漏洞，导致服务器发起非预期的请求，从而可能泄露内部网络信息或进行其他恶意操作。 影响范围 受影响文件： - - - 受影响函数： - - 修复方案 1. 添加 SSRF 防护： - 在 和 函数中添加对直接上传 URL 的 SSRF 防护。 - 使用 函数来验证 URL 是否合法。 2. 代码修改： - 在 文件中，修改 和 函数，确保在发送请求前对 URL 进行验证。 - 添加 函数，用于检查 URL 是否允许直接上传。 3. 测试用例： - 在 文件中添加测试用例，验证 SSRF 防护的有效性。 - 测试用例包括： - 阻止直接上传到私有或内部主机的 URL。 - 阻止非 HTTPS 的直接上传 URL。 - 允许公共 HTTPS 直接上传 URL。 - 允许公共 HTTPS 直接上传 URL 用于群组上传。 - 跳过 URL 验证当 被缓存时。 POC 代码