关键漏洞信息 漏洞名称: CORS origin allowlist bypass due to unescaped regex metacharacters in allowed origins CVE ID: CVE-2026-25478 CVE编号: GHSA-2p2x-hpg8-cqp2 影响版本: 2.19.0 修复版本: 2.20.0 严重性: 高 (7.4/10) CVSS v3 基本指标: - 攻击向量: 网络 - 攻击复杂性: 低 - 需要权限: 无 - 用户交互: 需要 - 范围: 改变 - 机密性影响: 高 - 完整性影响: 无 - 可用性影响: 无 弱点: CWE-942 漏洞描述 概要: 由于未对通配符进行转义，允许的来源白名单被编译成一个正则表达式，从而可以绕过CORS来源验证。 详细信息: CORS配置的 使用从配置的白名单值构建的正则表达式构建，用于验证。由于未转义元字符，恶意来源可以意外匹配。 影响: CORS策略绕过（跨源数据暴露风险） 证明概念 (PoC) 服务器 (poc_cors_server.py) - 代码片段: (省略具体代码) 客户端 (poc_cors_client.py) - 代码片段: (省略具体代码) 结果 恶意请求: -> 没有 （ACAO） 绕过请求: -> ACAO: (绕过)