KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-23544 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
MeterSphere 是一款涵盖测试管理、界面测试、UI测试和性能测试等功能的一站式开源测试平台。
由于 `IssueProxyResourceService::getMdImageByUrl` 未对用户传入的 url 参数进行过滤，攻击者可通过向 `/md/get/url` 端点发送包含恶意 url 参数的请求访问 MeterSphere 系统内部资源，或者发送包含恶意 JavaScript 代码的 url 参数进行反射型 XSS 攻击。
影响范围
应用：metersphere metersphere（影响面 Up to (excluding) 2.5.0）
解决方案
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考信息
https://github.com/metersphere/metersphere/commit/d0f95b50737c941b29d507a4cc3545f2dc6ab121
https://github.com/metersphere/metersphere/security/advisories/GHSA-vrv6-cg45-rmjj
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。