CVE-2026-5126 SourceCodester RSS Feed Parser SSRF漏洞

SourceCodester RSS Feed Parser 1.0版本中存在一个安全漏洞。该漏洞源于`file_get_contents`函数处理用户输入时缺乏充分的验证，导致攻击者可以操纵该函数发起服务端请求伪造（SSRF）攻击。攻击者无需用户交互，仅需低权限即可远程利用此漏洞。由于利用代码已公开，该漏洞对受影响系统的机密性、完整性和可用性均构成潜在威胁，建议管理员尽快采取修复措施。

该漏洞的核心在于SourceCodester RSS Feed Parser 1.0未能正确过滤用户输入的RSS Feed URL。应用程序直接使用用户提供的URL作为参数调用PHP内置函数`file_get_contents`。由于PHP的`file_get_contents`支持多种协议封装器（如http、https、file、ftp等），攻击者可以通过构造特定的Payload来诱导服务器向内部网络或本地文件系统发起请求。例如，攻击者可以使用`file://`协议读取服务器上的敏感文件，或使用`http://`协议扫描内网端口、访问云服务元数据接口。根据CVSS向量分析，该漏洞具有低攻击复杂度，且无需用户交互，攻击者仅需低权限账号即可通过网络远程触发。这使得攻击者能够利用受害服务器作为跳板，进一步探测或攻击内网基础设施，造成数据泄露或服务中断。