一、 漏洞 CVE-2025-23217 基础信息
漏洞信息
                                        # 利用代理服务器绕过Mitmweb API认证

## 漏洞概述
mitmweb在11.1.1及以下版本中存在漏洞，允许恶意客户端通过mitmweb的代理服务器访问其内部API，进而可能导致远程代码执行。

## 影响版本
- mitmweb 11.1.1及以下版本

## 细节
- 恶意客户端可以通过绑定到`*:8080`的mitmweb代理服务器访问绑定到`127.0.0.1:8081`的内部API。
- 尽管恶意客户端无法直接访问API，但可以通过代理服务器间接访问。
- 这种漏洞可能导致类似SSRF的远程代码执行攻击。

## 影响
- 仅mitmweb受到影响，mitmproxy和mitmdump工具不受影响。
- 固定版本：mitmproxy 11.1.2及更高版本。
- 目前没有已知的缓解措施。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Mitmweb API Authentication Bypass Using Proxy Server
来源：美国国家漏洞数据库 NVD
漏洞描述信息
mitmproxy is a interactive TLS-capable intercepting HTTP proxy for penetration testers and software developers and mitmweb is a web-based interface for mitmproxy. In mitmweb 11.1.1 and below, a malicious client can use mitmweb's proxy server (bound to `*:8080` by default) to access mitmweb's internal API (bound to `127.0.0.1:8081` by default). In other words, while the cannot access the API directly, they can access the API through the proxy. An attacker may be able to escalate this SSRF-style access to remote code execution. The mitmproxy and mitmdump tools are unaffected. Only mitmweb is affected. This vulnerability has been fixed in mitmproxy 11.1.2 and above. Users are advised to upgrade. There are no known workarounds for this vulnerability.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
使用候选路径或通道进行的认证绕过
来源：美国国家漏洞数据库 NVD
漏洞标题
mitmproxy 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
mitmproxy是mitmproxy开源的一个交互式的、支持 SSL/TLS 的拦截代理，带有用于 HTTP/1、HTTP/2 和 WebSockets 的控制台界面。 mitmproxy 11.1.1及之前版本存在安全漏洞，该漏洞源于恶意客户端可以利用代理服务器访问其内部API，可能导致远程代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-23217 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-23217 的情报信息