CVE-2026-39376

总结

FastFeedParser 是一个高性能的 RSS、Atom 和 RDF 解析器。在 0.5.10 之前，当 parse() 获取一个返回包含 <meta http-equiv="refresh"> 标签的 HTML 页面的 URL 时，它会使用重定向 URL 递归调用自身——没有深度限制、没有已访问 URL 去重、也没有重定向次数上限。攻击者控制的服务器返回无限链的 HTML meta-refresh 响应会导致无界递归，耗尽 Python 调用栈并使进程崩溃。此漏洞还可与配套的 SSRF 问题链式利用，在绕过初始 URL 检查后访问内部网络目标。该漏洞已在 0.5.10 中修复。

• CVE-2026-39376PoC

  CVE-2026-39376 的概念验证，演示了通过 fastfeedparser 中的 meta-refresh 链实现无限重定向循环拒绝服务，并具有 SSRF 链式利用的潜力。