PostHog数据库架构服务器端请求伪造漏洞CVE-2024-9710

PostHog是一个开源用户行为分析系统，提供实时分析、自定义事件、用户画像等功能，具有群组分析、漏斗分析、用户路径等独特功能。

PostHog支持会话录制以观看用户行为的视频，具有细粒度的隐私控制，具有将产品使用数据与其他系统（如 CRM 或数据湖）集成插件。

一、基本情况

PostHog 是一个开源产品分析平台，平台集成产品分析、A/B测试、用户行为追踪、会话回放、特征标志和数据管道等一整套的工具功能。

PostHog 提供丰富分析工具，如漏斗分析、用户路径、粘性、生命周期和SQL探索，可以帮助开发者更好地理解其应用的用户行为和活动。

栋科技漏洞库关注到 PostHog 数据库架构服务器端存在一个请求伪造漏洞，该漏洞被标记为CVE-2024-9710，该漏洞的CVSS评分为7.2。

二、漏洞分析

CVE-2024-9710漏洞是PostHog database_schema 服务器端请求伪造信息泄露漏洞，攻击者可利用漏洞在服务帐户的上下文中执行代码。

该漏洞源于在访问资源之前没有对URL进行适当验证而导致的，具体存在于数据库架构方法的实现中，利用该漏洞之前需要进行身份验证。

该漏洞属于是PostHog数据库架构服务器端中的请求伪造信息披露漏洞，该漏洞允许远程攻击者在受影响的PostHog安装上披露敏感信息。

三、影响范围

未知

四、修复建议

PostHog已发布更新来纠正此漏洞。

五、参考链接

https://github.com/PostHog/posthog/pull/25388