主 题：[开源] 初春图床 v3.5.6 安全大更新：修复 Host 注入漏洞、合并社区 PR（R2 独立存储 / 图库文件夹）、完成全面安全审计~
发 布 者：onexru
标签分类： 技术
时 间：2026-10-12 14:47:52
内容预览：初春图床 v3.5.6 更新来了！这次是一个含金量很高的版本：在 v3.5.5 基础上合并了社区大佬 @hicocos 的 PR 32，并完成了一次覆盖 6 大子系统的全面安全审计与修复（3 High / 4 Medium / 10 Low），构建产物也全部改为 UPX -9 压缩的静态二进制。⚠️ 特别提醒：本次发布之前的所有版本（含 v3.5.5 / v4.5.5 及更早）都受一个 Host 头注入漏洞影响，建议所有旧版本立即更新！⚠️ 安全通告：Host / X-Forwarded-Host 注入未认证接口（如 GET /api/images/random）返回的图片 URL 基址，此前完全取自请求的 Host / X-Forwarded-Host / X-Forwarded-Proto 头。攻击者无需任何凭据，即可让服务端在响应中输出指向任意主机的图片链接：curl -H 'X-Forwarded-Host: evil.example.com' 'http://your-host/api/images/random?limit=1'→ {"url":"http://evil.example.com/uploads/2026/08/xxx.webp"}在存在缓存 / 反向代理的部署中，可造成缓存投毒与外链劫持。修复（随 PR 32 合入，本版本已包含）：图片 URL 基址现在只取服务端配置的 APP_URL，不再信任任何请求头；APP_URL 未配置或非法时返回相对路径。升级后请务必在 .env 中将 APP_URL 设为实际访问地址。暂时无法升级的缓解措施：反向代理固定 Host（如 nginx proxy_set_header Host example.com;），并剥离客户端传入的 X-Forwarded-Host / X-Forwarded-Proto；同
直达链接： https://www.nodeseek.com/post-978357-1
发 布 者：onexru
标签分类： 技术
时 间：2026-10-12 14:47:52
内容预览：初春图床 v3.5.6 更新来了！这次是一个含金量很高的版本：在 v3.5.5 基础上合并了社区大佬 @hicocos 的 PR 32，并完成了一次覆盖 6 大子系统的全面安全审计与修复（3 High / 4 Medium / 10 Low），构建产物也全部改为 UPX -9 压缩的静态二进制。⚠️ 特别提醒：本次发布之前的所有版本（含 v3.5.5 / v4.5.5 及更早）都受一个 Host 头注入漏洞影响，建议所有旧版本立即更新！⚠️ 安全通告：Host / X-Forwarded-Host 注入未认证接口（如 GET /api/images/random）返回的图片 URL 基址，此前完全取自请求的 Host / X-Forwarded-Host / X-Forwarded-Proto 头。攻击者无需任何凭据，即可让服务端在响应中输出指向任意主机的图片链接：curl -H 'X-Forwarded-Host: evil.example.com' 'http://your-host/api/images/random?limit=1'→ {"url":"http://evil.example.com/uploads/2026/08/xxx.webp"}在存在缓存 / 反向代理的部署中，可造成缓存投毒与外链劫持。修复（随 PR 32 合入，本版本已包含）：图片 URL 基址现在只取服务端配置的 APP_URL，不再信任任何请求头；APP_URL 未配置或非法时返回相对路径。升级后请务必在 .env 中将 APP_URL 设为实际访问地址。暂时无法升级的缓解措施：反向代理固定 Host（如 nginx proxy_set_header Host example.com;），并剥离客户端传入的 X-Forwarded-Host / X-Forwarded-Proto；同
直达链接： https://www.nodeseek.com/post-978357-1
