【墨菲安全漏洞预警】livehelperchat ＜ 3.9.6 存在 SSRF 漏洞

漏洞发现时间	2022-03-31
标题	livehelperchat < 3.9.6 存在 SSRF 漏洞
漏洞编号	MPS-2022-7057
发现方式	墨菲安全实验室情报预警监控
语言	php
影响组件及版本	livehelperchat （影响版本：3.9.6 以下版本）
漏洞描述	livehelperchat 是一个提供实时聊天能力的项目。 livehelperchat 中请求 GET 请求获取的 css 参数的url，但并没有对 css 参数进行安全性验证，导致可通过构造 css 参数实现 SSRF 攻击。 攻击者可利用该漏洞进行内网扫描。
漏洞类型	SSRF 漏洞
排查方式	获取 livehelperchat 版本，判断其版本 < 3.9.6
处置建议	官方已发布 3.9.6 版本，请升级到最新版本
漏洞评分	7.2
参考链接	https://github.com/LiveHelperChat…… https://github.com/LiveHelperChat……

使用墨菲安全的开源工具帮您快速检测代码安全

开源地址：https://github.com/murphysecurity/

产品官网：https://murphysec.com

一、墨菲安全开源CLI工具

使用CLI工具，在命令行检测指定目录代码的开源组件依赖安全问题

工具地址：https://github.com/murphysecurity/murphysec

具体使用方式可参考项目 README 或 官方文档

 

二、墨菲安全 IDE 插件

在IDE 中即可检测代码依赖的安全问题，并通过准确的修复方案和一键修复功能，快速解决安全问题。

使用方式：

1. IDE插件中搜索“murphysec”即可安装
2. 选择“点击开始扫描”，即可检测出代码中存在哪些安全缺陷组件
3. 点击“一键修复”，即可对检测出来的漏洞进行一键修复

 

三、GitLab全量代码检测

使用基于墨菲安全CLI的检测工具，快速对您的GitLab上所有项目进行检测

工具地址：https://github.com/murphysecurity/murphysec-gitlab-scanner

具体使用方式可参考项目 README

以上几种检测方式均可在墨菲安全平台上查看详细的检测结果，并可以查看项目的直接或间接依赖信息。

 

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，能力包括代码安全检测、开源组件许可证合规管理、云原生容器安全检测、软件成分分析(SCA)等，丰富的安全工具助您打造完备的软件开发安全能力(DevSecOps)。产品支持SaaS、私有化部署，目前已服务多家互联网、金融、人工智能、IOT行业头部企业客户，公司核心团队来自百度、华为等企业，拥有超过十年的企业安全建设、安全产品研发及安全攻防经验。

关于墨菲安全实验室

墨菲安全实验室是墨菲未来科技旗下的安全研究团队，专注于软件供应链安全相关领域的技术研究，关注的方向包括：开源软件安全、程序分析、威胁情报分析、企业安全治理等。