CVE-2026-0560 是 lollms 中发现的服务器端请求伪造 (SSRF) 漏洞。此漏洞允许攻击者通过 /api/files/export-content 端点发起未经授权的 HTTP 请求，访问内部服务和云元数据。受影响的版本包括 lollms 2.2.0 之前的版本。已发布安全补丁，建议用户尽快升级。
检测此 CVE 是否影响你的项目
上传你的 requirements.txt 文件，立即知道是否受影响。
影响与攻击场景
攻击者可以利用此 SSRF 漏洞访问 lollms 实例内部的网络资源，包括数据库、管理界面和其他敏感服务。他们还可以访问云元数据端点，获取云环境的配置信息，例如 API 密钥和凭据。进一步的利用可能导致信息泄露、端口扫描，甚至通过利用内部服务实现远程代码执行。此漏洞的潜在影响范围广泛，可能导致数据泄露、系统被入侵以及业务中断。
利用背景
此漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于 SSRF 漏洞的普遍性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录，但其 CVSS 评分为高，表明存在较高的风险。建议密切关注安全社区的动态，及时了解最新的利用信息。
哪些人处于风险中翻译中…
Organizations deploying lollms in environments with sensitive internal services or cloud metadata are at significant risk. Shared hosting environments where lollms is running alongside other applications are particularly vulnerable, as a compromised lollms instance could be used to pivot to other systems on the same host. Any deployment relying on the /api/files/export-content endpoint without proper input validation is potentially exposed.
检测步骤翻译中…
• python / server:
# Check for outbound requests to unusual IP ranges in lollms logs
grep -i '169.254.169.254' /var/log/lollms/api.log• generic web:
# Check access logs for requests to cloud metadata endpoints
grep -i '169.254.169.254' /var/log/nginx/access.log攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.11% (30% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 无 — 无完整性影响。
- Availability
- 无 — 无可用性影响。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
解决此漏洞的首要措施是立即将 lollms 升级至 2.2.0 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意请求，阻止对内部资源的访问。此外，可以限制 /api/files/export-content 端点的访问权限，只允许来自受信任来源的请求。务必在升级后验证修复效果，确认不再存在 SSRF 漏洞。
修复方法
升级 parisneo/lollms 版本至 2.2.0 或更高版本。 这通过在 `/api/files/export-content` 端点中正确验证用户控制的 URL 来修复 SSRF 漏洞。
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2026-0560 — SSRF 在 lollms 中的漏洞？
CVE-2026-0560 是 lollms 2.2.0 之前的版本中发现的服务器端请求伪造 (SSRF) 漏洞，允许攻击者发起未经授权的 HTTP 请求访问内部资源。
我是否受到 CVE-2026-0560 在 lollms 中的影响？
如果您正在使用 lollms 2.2.0 之前的版本，则可能受到此漏洞的影响。请立即升级至最新版本。
我如何修复 CVE-2026-0560 在 lollms 中的漏洞？
升级至 lollms 2.2.0 或更高版本是修复此漏洞的最佳方法。如果无法升级，请考虑使用 WAF 或限制端点访问权限。
CVE-2026-0560 是否正在被积极利用？
目前尚未观察到大规模的利用活动，但由于 SSRF 漏洞的普遍性，建议尽快采取缓解措施。
在哪里可以找到 lollms 官方关于 CVE-2026-0560 的公告？
请查阅 lollms 官方安全公告或 GitHub 仓库，以获取有关此漏洞的更多信息和修复指南。