CVE-2019-9849：LibreOffice 在“隐身模式”下获取远程项目符号图形

LibreOffice 具有一种“隐身模式”，在该模式下，仅允许从被视为“受信任”的位置获取远程资源。
该模式并非默认模式，但希望禁用 LibreOffice 在文档中包含远程资源功能的用户，可以启用该模式。
在 6.2.5 版本之前存在一个缺陷：项目符号图形被遗漏在此保护范围之外。

HTML 标签	HTML 属性	打开时触发	保存/导出时触发
ol	src	否	是
ul	src	否	是

厂商披露：

该漏洞的厂商披露可在此处查看。

概念验证：

更多详情及利用过程（以及其他会导致 SSRF 的 HTML 标签-属性组合）可参阅此 PDF。