CVE-2026-5016 elecV2P SSRF 漏洞：影响 3.8.0-3.8.3

在 elecV2 elecV2P 的 3.8.3 及更早版本中，发现了一种服务器端请求伪造 (SSRF) 漏洞。此漏洞位于“URL Handler”组件的“/mock”文件中的“eAxios”函数中。攻击者可以通过操纵“req”参数来强制服务器向非预期的内部或外部资源发送请求。此漏洞的严重程度评分为 CVSS 7.3，表明中等至高风险。公开可用的漏洞利用程序以及项目对漏洞报告的缺乏响应，大大增加了解决此问题的紧迫性。这可能允许攻击者访问敏感信息、执行任意命令或损害系统完整性。

Organizations deploying elecV2P versions 3.8.0 through 3.8.3 are at risk, particularly those with internal services accessible from the internet or those using elecV2P in environments with limited network segmentation. Shared hosting environments utilizing this component are also at increased risk due to the potential for cross-tenant exploitation.

• nodejs / server:

  ps aux | grep elecV2P
  netstat -tulnp | grep elecV2P

• generic web:

  curl -I <elecV2P_URL>/mock?req=<internal_ip>
  # Check for response headers indicating internal resource access

1. 2026-03-28Disclosure

   disclosure

1. 已保留2026-03-27
2. 发布日期2026-03-28
3. 修改日期2026-03-30
4. EPSS 更新日期2026-04-04

由于 elecV2P 项目尚未为 CVE-2026-5016 提供修复程序（补丁），因此立即的缓解措施是避免使用 3.8.3 之前的 elecV2P 版本。如果必须使用此版本，则需要在“req”参数输入上实施严格的控制，以防止操纵。这可能包括 URL 验证、允许的域白名单以及将请求限制为特定资源。此外，应积极监控服务器日志，以查找与外部请求相关的可疑活动。我们强烈建议直接联系 elecV2P 开发团队，以请求更新并提供有关漏洞的信息。