CVE-2025-62168
严重已发布
Squid 存在通过错误处理中的认证凭据泄露导致的信息披露漏洞
- 已发布
- 2025年10月17日
- 已更新
- 2026年2月26日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月25日
初级CVSS
10.0/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N63.4%
高 · 未来 30 天
- 百分位
- 99.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Squid 是一款用于 Web 的缓存代理。在 7.2 之前的 Squid 版本中，错误处理过程中未能对 HTTP 身份验证凭据进行脱敏，导致信息泄露。该漏洞允许脚本绕过浏览器安全保护，并获知受信任客户端用于身份验证的凭据。这可能使远程客户端能够识别使用 Squid 进行后端负载均衡的 Web 应用内部使用的安全令牌或凭据。这些攻击不要求 Squid 配置了 HTTP 身份验证。该漏洞已在 7.2 版本中修复。作为临时解决方案，可通过在 squid.conf 中配置 `email_err_data off` 来禁用 Squid 生成的用于管理员 mailto 链接中的调试信息。
来源
3针对 CVE-2025-62168 的概念验证（PoC）👾
扫描器及针对 CVE-2025-62168 的概念验证，用于检测 Squid 代理中泄露 HTTP 认证凭据的信息披露漏洞。
CVE-2025-62168 的概念验证扫描器，该漏洞为 Squid 代理信息泄露漏洞，可暴露 HTTP 认证凭据，用于检测和验证受影响的配置。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。