CVE-2026-37197 - NukeViet CMS v4.5.07 中的服务端请求伪造（SSRF）漏洞

概述

VINADES JSC NukeViet CMS v4.5.07 的 管理员远程上传功能 中存在 服务端请求伪造（SSRF） 漏洞。该问题允许已认证的管理员在上传文件时提供精心构造的远程文件 URL，从而触发指向任意 URL 的服务端 HTTP 请求。

此漏洞可能允许攻击者与内部网络服务交互、扫描内部资源，或访问外部无法直接访问的受限端点。

漏洞详情

• CVE 编号： CVE-2026-37197
• 漏洞类型： 服务端请求伪造（SSRF）
• 厂商： VINADES JSC
• 产品： NukeViet CMS
• 受影响版本： v4.5.07
• 攻击类型： 远程
• 所需认证： 是（需要管理员访问权限）
• 影响： 信息泄露 / 内网枚举

受影响组件

该漏洞存在于以下组件中：

admin/upload/upload.php
vendor/vinades/nukeviet/Files/Upload.php

受影响的函数包括：

save_urlfile()
check_url()

这些函数处理用户提供的远程文件 URL（fileurl）时，未对出站请求进行充分的验证或限制。

技术描述

远程上传功能 允许管理员通过 URL 源上传文件。当通过 fileurl 参数提供精心构造的 URL 时，应用程序会向指定目标发起服务端请求。

由于验证不充分，拥有管理员权限的攻击者可滥用此行为，强制应用服务器向任意内部或外部资源发起 HTTP 请求。

此外，应用程序会跟随重定向，从而增加了访问内部资源和进行网络侦察的风险。

攻击向量

已认证的管理员向远程上传端点提交精心构造的 URL。

攻击场景示例：

1. 管理员访问远程上传功能。
2. 提供指向内部服务的恶意 URL。
3. 服务器发起出站请求。
4. 内部服务可能被探测或枚举。

示例目标：

http://127.0.0.1
http://localhost
http://169.254.169.254
http://192.168.1.1
http://internal-service:8080

这可能导致：

• 内网扫描
• 访问仅限内部的服务
• 云元数据暴露（取决于环境）
• 信息泄露

概念验证（PoC）

示例构造请求：

POST /admin/index.php?language=en&nv=upload&op=upload HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: admin_session=SESSION

fileurl=http://127.0.0.1:8080

服务器会尝试获取所提供的 URL，从而对内部资源发起服务端请求。

安全影响

成功利用可能允许攻击者：

• 枚举内部网络服务
• 扫描 localhost 或内部 IP 范围
• 访问敏感的内部端点
• 从内部服务检索信息
• 根据部署配置，可能访问云元数据服务

根本原因

问题由以下原因导致：

• 缺少适当的 URL 验证
• 缺少出站请求限制
• 未对内部 IP 范围实施允许/阻止列表
• 自动跟随重定向

建议的缓解措施

VINADES JSC 应实施以下缓解措施：

1. 阻止对内部/私有 IP 范围的请求：

127.0.0.0/8
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.169.254
localhost

2. 限制允许的协议为：

http
https

3. 禁用或限制重定向。

4. 实施主机名和 DNS 验证，以防止 SSRF 绕过技术。

5. 尽可能对受信任的远程域名采用允许列表方法。

时间线

• 漏洞发现者： Pavan V
• 厂商回应： 将在即将发布的版本中修复（如适用）
• CVE 分配： CVE-2026-37197

参考资料

• 项目仓库：https://github.com/nukeviet/nukeviet

发现者

Pavan V