AliasVault 易受服务器端请求伪造 (SSRF) 攻击，通过 Favicon 提取实现

该 SSRF 漏洞允许经过身份验证的低权限用户，通过 favicon 提取功能，强制后端服务器向攻击者控制的 URL 发送请求。虽然初始 URL 验证允许默认端口的 HTTP/HTTPS，但提取器会自动跟随重定向，并且不阻止对环回或内部 IP 范围的请求。攻击者可以利用此行为访问内部资源，例如数据库、管理界面或其他敏感服务，从而获取敏感信息或执行未经授权的操作。攻击者还可以利用此漏洞扫描内部网络，寻找其他潜在漏洞。由于 AliasVault 密码管理器存储用户的敏感凭据，因此此漏洞的潜在影响非常严重。

Organizations utilizing AliasVault's API for favicon extraction, particularly those with internal services accessible from the AliasVault server, are at risk. Shared hosting environments where AliasVault instances share network resources are also particularly vulnerable.

• linux / server: Monitor AliasVault API logs for outbound requests to internal IP addresses (127.0.0.1, 192.168.x.x, 10.x.x.x). Use journalctl -u aliasvault to filter for relevant log entries.

journalctl -u aliasvault | grep -i 'internal ip' 

• generic web: Use curl to test the favicon extraction endpoint with a URL pointing to an internal resource. Observe the response code and any error messages.

curl -v 'https://<aliasvault_url>/api/favicon?url=http://127.0.0.1' 

1. 2025-09-19Disclosure

   disclosure

1. 已保留2025-09-12
2. 发布日期2025-09-19
3. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-59344，应立即将 AliasVault API 升级至 0.23.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 AliasVault 服务器的网络访问权限，仅允许其访问必要的外部资源。实施严格的 URL 验证和过滤规则，阻止对内部 IP 地址和敏感资源的请求。监控 AliasVault 服务器的网络流量，检测异常活动。如果使用反向代理或 Web 应用防火墙 (WAF)，配置规则以阻止 SSRF 攻击。升级后，确认漏洞已修复，可以通过尝试访问内部资源来验证。