私聊发送图片时存在盲SSRF漏洞

[david (David Taylor)]

Discourse 会主动抓取帖子中包含的图片和 URL。我们已采取安全措施，确保这些请求无法指向服务器私有网络内的托管。收到对“金丝雀令牌”的 GET 请求并不意味着存在漏洞。

请随时将研究人员引导至我们的官方 HackerOne 项目。我们的政策涵盖此类报告：

不可受理的漏洞类型

• SSRF - Discourse 包含一些功能（例如 Onebox），这些功能会故意允许最终用户向外部资源发起服务器端请求。只有当 SSRF 报告允许向私有范围内的 IP 发出请求时，才会被视为可受理。