FetchNode 中的服务器端请求伪造: 爬取了没有内部 IP/方案过滤的源 URL
作者: geo-chen创建于 2026年7月19日更新于 2026年8月30日
标签bug
A repository-wide search confirms there is no SSRF guarding anywhere: no link-local ("169.254") check, no private-range rejection based on "ipaddress", no localhost block, and no scheme allowlist. The fetched body flows into the node output and downstream nodes.
内容来源: ScrapeGraphAI/Scrapegraph-ai