平台
nodejs
组件
hm_editor
修复版本
2.2.1
2.2.2
2.2.3
2.2.4
CVE-2026-5346是一个服务器端请求伪造(SSRF)漏洞，影响到huimeicloud hm_editor的版本2.2.0到2.2.3。该漏洞源于image-to-base64端点中的client.get函数对url参数的验证不足，攻击者可以利用此漏洞发起恶意请求。该漏洞已公开披露，且可能被利用，建议尽快采取措施。
攻击者可以利用此SSRF漏洞，通过操纵url参数，向内部网络或外部服务器发起未经授权的请求。这可能导致敏感信息泄露，例如内部服务配置、数据库凭证等。此外，攻击者还可以利用此漏洞执行恶意操作，例如扫描内部网络、访问受保护的资源，甚至可能导致进一步的攻击，例如横向移动到其他系统。由于该漏洞已公开披露，攻击者可以轻松利用公开的漏洞信息进行攻击。
该漏洞已公开披露，存在被利用的风险。目前尚未观察到大规模的利用活动，但由于漏洞信息已公开，攻击者可以随时利用该漏洞进行攻击。该漏洞被添加到CISA KEV目录中，表明其具有较高的安全风险。建议尽快采取缓解措施。
Organizations deploying huimeicloud hmeditor versions 2.2.0 through 2.2.3 are at risk, particularly those with sensitive internal services accessible from the server. Environments with weak network segmentation or inadequate input validation are especially vulnerable. Shared hosting environments where hmeditor is deployed alongside other applications are also at increased risk.
• nodejs / server:
grep -r 'client.get' /path/to/hm_editor/src/• generic web:
curl -I 'http://your-hm-editor-server/image-to-base64?url=http://internal-service/' | grep 'Server:'• generic web:
curl -I 'http://your-hm-editor-server/image-to-base64?url=file:///etc/passwd' | grep 'Server:'disclosure
漏洞利用状态
EPSS
0.05% (16% 百分位)
CISA SSVC
CVSS 向量
由于目前没有官方提供的修复版本，建议采取以下缓解措施：首先，限制hm_editor的访问权限，只允许来自受信任来源的请求。其次，实施严格的输入验证，对url参数进行严格的过滤和验证，防止恶意url的注入。第三，配置WAF或代理服务器，拦截可疑的SSRF请求。最后，定期监控系统日志，检测是否存在异常的请求行为。升级到修复版本是最终的解决方案，请密切关注huimeicloud官方发布的修复版本。
升级到修复了 服务器端请求伪造 (Server-Side Request Forgery, SSRF) 漏洞的 hm_editor 打破版本。如果尚无可用版本，请考虑禁用或删除 image-to-base64 组件，直到发布解决方案。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-5346是一个服务器端请求伪造(SSRF)漏洞，影响到huimeicloud hm_editor的版本2.2.0到2.2.3。攻击者可以利用此漏洞发起恶意请求，可能导致敏感信息泄露或恶意操作。
如果您正在使用huimeicloud hm_editor的版本2.2.0到2.2.3，则可能受到此漏洞的影响。请尽快采取缓解措施或升级到修复版本。
目前没有官方提供的修复版本，建议采取缓解措施，例如限制访问权限、实施输入验证、配置WAF或代理服务器，并定期监控系统日志。
该漏洞已公开披露，存在被利用的风险。虽然目前尚未观察到大规模的利用活动，但攻击者可以随时利用该漏洞进行攻击。
请访问huimeicloud官方网站或安全公告页面，查找关于CVE-2026-5346的官方公告。