Typecho 1.3.0 (CVE-2026-7025)SSRF漏洞记录

叮咚！腾讯云给我邮箱发了一个提示：

看到这个图片我就知道服务器被攻破了。

起因

　昨天在群里看到说是typecho1.x-1.3.0版本有个漏洞，我就叫我朋友测试一下我的站点，你猜怎么着?服务器被攻破了，除了typecho的程序有个漏洞，就连我使用的小皮面板都有，不过还好已经修复了，还推送了新版本。

经过

　经过我就不细说了，简单带过：原因是typecho这个漏洞导致源站的ip地址泄露，随后我的朋友利用源站ip扫到了开放的服务器面板端口并找到了安全入口，随后你猜怎么着？登进去了！我勒个豆，还是cookie登录的，你再怎么改面板登录密码也没有用，人家根本不需要密码。

好好好，我朋友准备复现ssrf漏洞的，结果顺带给小皮面板测试了一波，

结果

　当时我在外面培训无人机，那会儿已经是中午了，我在小皮面板没有推送时在服务器厂商那边防火墙设置了只允许127.0.0.1本地IP访问服务器面板，然后nginx设置禁止访问ssrf的相关接口地址，但是ssrf这个洞还是存在的只是网络应用层面拦截了而已，还是可以绕过，后面关于漏洞的详情请参照： Typecho 1.3.0 (CVE-2026-7025)SSRF漏洞分析与修复

注意

切勿使用ai对未授权的站点进行漏洞扫描并利用漏洞进行破坏，有些时候你把握不住。万一给别人删库了你不就犯罪了？是吧！

建议

使用了typecho的站长请抓紧时间按照上述推荐的文章链接进行补丁，不然有大问题就麻烦了。