CVE-2024-13971Lobster_pro 4.12.6-GA 之前版本存在 XML 解析器配置不当的漏洞。由于未对用户提供的 XML 输入进行严格的安全过滤，未经身份验证的攻击者可利用该缺陷发起 XXE 攻击。该漏洞允许攻击者读取服务器上的敏感文件，访问相邻网络共享资源，并诱导服务器向任意内部或外部服务发送 HTTP GET 请求，可能导致敏感数据泄露。
该漏洞的核心在于 Lobster_pro 应用程序处理 XML 数据时，未禁用外部实体的解析（DTD）。在标准的 XML 解析器中，如果允许加载外部实体，攻击者可以通过构造恶意的 XML 载荷，定义一个指向本地文件系统（如 /etc/passwd）或内网网络资源（如 http://169.254.169.254/latest/meta-data/）的实体。当服务器解析该 XML 时，解析器会根据攻击者的定义读取目标文件内容，并将数据返回在响应中，或者向目标 URL 发起请求。由于无需认证即可触发，攻击者只需向存在漏洞的接口发送包含恶意 DTD 定义的 POST 数据包，即可利用 SSRF（服务端请求伪造）或本地文件读取功能获取敏感信息。