coolercontrold 中对不可信域的宽松跨域策略

CORS配置错误允许攻击者利用恶意网站，绕过正常的安全限制，直接与coolercontrold服务进行交互。攻击者可以读取服务内部的数据，例如配置信息、监控数据等，这些数据可能包含敏感信息。更严重的是，攻击者还可以向服务发送命令，从而可能控制受影响的设备或系统。例如，如果coolercontrold控制着服务器的散热系统，攻击者可能能够通过该漏洞导致服务器过热，甚至损坏硬件。这种攻击模式类似于其他CORS漏洞的利用方式，攻击者可以利用浏览器作为代理，发起攻击，无需直接暴露coolercontrold服务的端口。潜在的攻击范围取决于coolercontrold服务的权限和访问范围，如果该服务具有较高的权限，攻击者的影响将更加严重。

Systems running coolercontrold versions 2.0.0 through 4.0.0 are at risk, particularly those exposed to the internet or accessible from untrusted networks. Shared hosting environments where coolercontrold is deployed alongside other applications are also at increased risk, as a compromised application could be used to exploit this vulnerability.

• rust / server:

curl -v -X GET 'http://<coolercontrold_ip>/api/data' -H 'Origin: http://attacker.com'

If the response headers include Access-Control-Allow-Origin: * or Access-Control-Allow-Origin: http://attacker.com, the vulnerability is likely present. • generic web:

curl -I http://<coolercontrold_ip>/api/data -H 'Origin: http://attacker.com'

Inspect the response headers for Access-Control-Allow-Origin.

1. 2026-04-08Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-08
3. EPSS 更新日期2026-04-16

解决CVE-2026-5302的关键是升级到CoolerControl/coolercontrold 4.0.0版本，该版本修复了此CORS配置错误。如果升级会造成系统中断，可以考虑暂时回滚到之前的稳定版本，并尽快安排升级。在升级之前，务必备份相关配置和数据，以防止意外情况发生。此外，可以考虑使用Web应用防火墙（WAF）或代理服务器来限制对coolercontrold服务的访问，并配置相应的规则，阻止来自未知或不信任域的跨域请求。还可以审查coolercontrold的配置，确保CORS策略只允许来自受信任域的请求。升级后，请验证CORS配置是否正确，例如通过浏览器开发者工具检查请求头，确认Origin限制是否生效。