事件经过
已通过NVD REST API验证（发布于2026-10-14，CVSS 5.4 v3.1 / 5.3 v4.0，状态：已延期）。在中国市场广泛使用的管理框架中存在特定但具体的AI模块SSRF。
影响分析
获取用户提供的URL的AI图片/代码生成端点是AI Web应用中反复出现的SSRF类别；此处允许认证的低权限用户从AI模块转向繁忙管理平台的内部网络和云元数据。
攻击途径
AI图片生成服务中的认证SSRF（CWE-918）：攻击者控制的referImageUrl在服务端无主机验证地获取，可到达内部/云元数据目标，其响应可被观察。
受影响系统
YunaiV/ruoyi-vue-pro 至 2026.09
缓解措施
根据允许列表验证/解析referImageUrl，拒绝私有/回环/元数据地址，并限制AI服务出站流量；鉴于状态为“已延期”，请关注补丁发布。