执行摘要
2026年5月19日，影响NPM包“sillytavern”（≤ 1.17.0）的高严重性服务器端请求伪造（SSRF）漏洞被公布（CVE-2026-46372，GHSA-qg89-qwwh-5f3j）。该问题源于未验证的 基础网址 参数，该参数由SearXNG搜索代理集成使用。攻击者可以利用此缺陷迫使受影响的服务器向攻击者控制或内部地址发出HTTP请求，可能暴露凭据、元数据端点、内部服务，或启用进一步的横向移动。该包在1.18.0版本中已修复。如果您运行任何依赖于sillytavern或暴露反向代理功能的服务，请将其视为紧急情况。.

这对 WordPress 网站所有者的重要性

尽管此漏洞存在于NPM包中，但现代WordPress网站通常与其他服务（Node.js微服务、聊天前端、自托管助手等）共享基础设施。当多个服务共享相同的主机、网络或凭据时，一个组件中的SSRF可以被武器化，以访问WordPress应用程序或其管理员依赖的内部资源。.

• 共享主机：WordPress可能与使用Node包的其他软件位于同一虚拟机或容器中。.
• 混合技术栈：团队运行混合技术工具，如果一个组件被攻破，可以作为支点使用。.
• SSRF风险：任何代表输入执行外发HTTP(S)请求的组件都可能被欺骗，以查询内部端点，如元数据服务、管理API或本地管理界面。.

SSRF影响重大，因为攻击者控制请求目标；后果范围从凭据盗窃到在云或私有网络内部的横向移动。.

技术背景 — 发生了什么

SillyTavern使用SearXNG作为某些功能的搜索代理。在易受攻击的版本（≤ 1.17.0）中， 基础网址 配置值未经过验证。这允许攻击者提供或操纵 基础网址 以便应用程序向攻击者选择的任意URL发出请求。.

关键特征：

• 类别：服务器端请求伪造（SSRF）。.
• 根本原因：对URL/配置参数的验证不足（基础网址).
• 影响：服务器可能被诱导请求内部IP、云元数据端点（例如，169.254.169.254）或任何可达主机。.
• 补丁：sillytavern v1.18.0 包含验证和限制，以防止攻击者控制。 基础网址 值。.

参考：CVE-2026-46372，GHSA-qg89-qwwh-5f3j。.

可能的利用场景（高级）

代表性攻击以理解风险（未提供利用代码）：

• 检索云元数据： 请求元数据端点以获取凭证或令牌（例如，AWS IMDS 在 169.254.169.254）。.
• 访问内部管理接口： 访问绑定到本地主机或内部子网的管理 API。.
• 端口扫描/发现： 使用易受攻击的主机映射内部 IP 范围和服务。.
• 绕过网络控制： 让受害者服务器执行被互联网阻止的请求。.
• 数据外泄： 查询内部调试端点并将敏感数据返回到攻击者控制的端点。.

如何检测利用尝试

检测需要关联网络流量和出站活动。寻找：

• Web 服务器日志： 带有参数的请求，例如 基础网址, 代理, 11. 参数包含, 目标. 长的、编码的或包含凭证的值是可疑的。.
• 应用程序日志： 出站请求的记录目标地址；出站请求频率的激增。.
• 出站网络/出口日志： 从网络进程到 169.254.169.254、127.0.0.1、RFC1918 范围或 IPv6 链路本地地址的连接。.
• DNS 日志： 对随机子域或不寻常解析模式的查询。.
• WAF 日志： 阻止可疑的规则 基础网址 值或私有IP模式。.
• 进程行为： 从PHP/Node运行时发起网络调用的新进程或意外进程，或CPU/DNS峰值。.

建立正常行为的基线，以便更可靠地检测偏差。.

立即步骤 — 接下来几小时该做什么

1. 修补软件

   如果您运行SillyTavern或依赖于sillytavern的服务，请立即更新到v1.18.0。这是正确的修复。.

2. 如果您无法立即更新，请进行虚拟补丁

   部署WAF规则以检测和阻止恶意 基础网址 使用并限制对接受代理URL的端点的公共访问。.

3. 限制外发连接

   应用主机出口规则（云安全组、防火墙、iptables），拒绝除允许目的地外的出站流量。至少，阻止对云元数据端点（169.254.169.254）和内部管理网络的访问。.

4. 隔离和调查

   如果存在指标，请隔离受影响的主机，保留日志，并搜索凭证盗窃或持久性的迹象。.

5. 轮换凭证和秘密（如有必要）

   如果可能查询了元数据或管理API，请轮换API密钥和服务凭证。.

6. 监控后续行动

   注意新账户、修改的配置、修改的文件或指示后续活动的计划任务。.

WAF缓解措施和示例规则

以下是实用的ModSecurity风格示例，用于检测和阻止常见的SSRF模式。在生产环境之前请在暂存环境中测试；根据您的环境进行调整。.

1) 阻止包含 基础网址 私有IP或元数据端点的请求

# 检查包含私有IP或元数据端点的baseUrl参数"
    

目的： 拒绝请求，其中 基础网址 指向localhost、RFC1918地址、AWS元数据或IPv6链路本地地址。.

2) 拒绝嵌入凭据或可疑协议的URL

# 阻止包含基本身份验证凭据或危险协议的URL"
    

3) 限制频率或阻止重复的代理请求

# 限制频率示例（概念性）"
    

与限速器集成，以减少自动化利用尝试。.

4) 阻止解析到私有地址的DNS查找

如果您的WAF或代理支持外部检查，请解析提供的主机名，并在解析到私有IP时进行阻止。这需要仔细实施以避免DNS竞争条件。.

注意： 这些是防御性模式。它们减少了暴露，但不能替代对易受攻击包的修补。.

开发人员的加固指导（代码中的修复）

接受外部URL或代理配置的开发人员应采用以下做法：

• 白名单主机： 仅允许应用程序合法需要联系的定义集主机名。.
• 拒绝非HTTP方案： 仅接受 http 和 https 在适当的情况下。.
• 强制主机验证： 解析并验证主机组件；拒绝私有范围内的 IP。.
• 防止嵌入凭据： 不允许包含 user:pass@host 的 URL.
• 解析和验证： 如果允许主机名，解析它们并在结果 IP 为私有时拒绝。使用安全解析器并考虑竞争条件。.
• 超时和限制： 设置请求超时和最大重定向以避免长时间运行的请求。.
• 将配置视为敏感： 不要在没有严格验证的情况下直接使用用户提供的值作为运行时配置。.

这些是 SillyTavern 的维护者在 v1.18.0 中实施的缓解措施类型。.

主机和网络级别保护

• 除非明确要求，否则防止 Web 进程访问仅内部服务。使用主机出口防火墙规则、云安全组或出口代理。.
• 如果应用程序不需要，阻止应用实例访问云元数据。例如，阻止 Web 进程向 169.254.169.254 的出站流量。.
• 在最小特权网络中运行服务。.
• 在可能的情况下，通过监控代理路由出站请求，该代理强制执行允许列表并记录活动。.

网络控制限制 SSRF 可以到达的范围，即使应用程序在一段时间内仍然脆弱。.

事件响应检查表（实际步骤）

1. 保留证据

   捕获 Web、应用程序、防火墙、DNS 和网络日志。确保日志不会被覆盖。.

2. 控制

   禁用易受攻击的功能或将主机置于 IP 限制后面。如有需要，暂时移除公共访问。.

3. 修补

   将 sillytavern 更新至 v1.18.0 或应用供应商推荐的修复措施。.

4. 分析

   检查访问日志以寻找可疑 基础网址 值，并检查主机的外发连接和 DNS 查询。.

5. 轮换密钥

   如果元数据或凭据可能已被暴露，请轮换 API 密钥和令牌。.

6. 扫描和清理

   运行恶意软件扫描和完整性检查，以检测利用后遗留物。.

7. 恢复和监控

   仅在确认系统干净后恢复正常操作。至少增加 30 天的监控。.

8. 报告

   根据您的事件响应政策或监管义务，通知您的安全团队、托管服务提供商或客户。.

检测和日志示例以搜索

在搜索日志或与您的托管服务提供商协调时使用这些指标：

• 带有参数的请求： ?baseUrl=, ?代理=, ?目标=, ，包含的 POST/JSON 主体 基础网址 或 代理_url.
• 包含的参数值： 169.254.169.254, 127.0.0.1, localhost, 10., 172.16.–172.31., 192.168., fe80:, ::1, ，或 @ 字符（嵌入凭据）。.
• 从您的 Web 服务器 IP 向私有范围的外发请求激增。.
• WAF 日志显示 SSRF 模式的签名触发。.

为什么更新仍然是最重要的步骤

WAF 规则和出站过滤是补偿控制措施。它们降低风险，但并不能消除潜在的漏洞。正确的修复方法是将 sillytavern 更新到 v1.18.0，这修复了根本原因。如果攻击者修改有效负载或合法用例绕过规则，虚拟补丁可能会失败。.

安全配置检查清单（摘要）

• 将 sillytavern 更新到 v1.18.0（或更高版本）。.
• 部署阻止的 WAF 规则 基础网址 指向私有范围、元数据 IP 和嵌入凭据。.
• 限制 Web 进程的出站网络访问；阻止应用程序进程访问云元数据端点。.
• 审查应用程序代码中的其他用户提供的 URL 参数，并相应地加固。.
• 监控日志以发现可疑的代理使用情况，并对异常的出站连接实施警报。.
• 如果元数据或内部端点可能已被访问，则轮换凭据。.
• 如果怀疑存在利用行为，请进行全面调查和恶意软件扫描。.

最后的想法

SSRF 漏洞特别危险，因为它们使攻击者能够利用您自己的基础设施作为侦察和攻击平台。对于与 Node.js 服务或混合环境共享基础设施的 WordPress 操作员来说，这个 SillyTavern SSRF 是一个提醒：

• 及时修补。.
• 在更新期间将 WAF 用作临时虚拟补丁。.
• 加固出站规则和网络分段。.
• 监控日志并准备响应。.

如果您需要帮助评估暴露或应用缓解措施，请联系可信的安全顾问或您的托管提供商的事件响应团队。保持警惕：保持软件更新，验证输入，并限制每个服务器在网络上可以访问的内容。.