nginx 跨站点请求伪造漏洞

Nginx官方在2025年2月发布的站点安全公告里，赫然列着一个编号为CVE-2025-23419的请求漏洞——Nginx的MP4模块在处理特定格式的请求时，存在跨站点请求伪造风险。伪造别急着划走，漏洞这可不是站点那种"理论上可能被攻击"的纸面漏洞。它直接影响的请求是那些用Nginx搭建流媒体服务、视频点播站点的伪造运维人员。说得直白点，漏洞如果攻击者构造一个恶意链接，站点诱导已登录后台的请求管理员点击，就能借管理员的伪造会话发起非预期的操作，比如篡改配置、漏洞删除缓存文件，站点甚至在某些配置不当的请求场景下执行更危险的动作。

这个漏洞的伪造根源出在Nginx对MP4文件请求的解析逻辑上。当服务器收到一个带有特殊构造的`/path/file.mp4?start=...&end=...`这类参数请求时，MP4模块会尝试解析时间戳偏移量。问题在于，它没有对参数中的外部来源标记做严格的同源校验。攻击者可以在自己的恶意网页里嵌入一个指向目标Nginx服务器的``标签或`