CVE-2024-31218

总结

Webhood 是一款自托管的 URL 扫描器，用于分析钓鱼和恶意网站。Webhood 的后端容器镜像在 0.9.0 及更早版本中存在关键功能缺失身份验证漏洞。该漏洞允许未经身份验证的攻击者向数据库（Pocketbase）管理 API 发送 HTTP 请求以创建管理员账户。当尚未添加任何管理员账户时，Pocketbase 管理 API 在创建管理员账户时不会检查身份验证/授权。在默认部署中，Webhood 不会创建数据库管理员账户。因此，除非用户已在数据库中手动创建管理员账户，否则部署中不会存在管理员账户，该部署即存在漏洞。从 0.9.1 版本开始已修复。该补丁会在尚未创建管理员账户时（即该漏洞在部署中可被利用时）创建一个随机生成的管理员账户。作为变通方法，用户可以完全禁用对以 `/api/admins` 开头的 URL 路径的访问。采用此变通方法后，该漏洞无法通过网络被利用。

• CVE-2024-31218-WEBHOOD-LABPoC

  基于 Docker 的实验环境，复现 CVE-2024-31218，即 Webhood 中未认证的 PocketBase 管理员创建漏洞，包含 PoC、检测和修复验证。