发布日期: 2026-01-27
版本号: v1.34.1

Meilisearch v1.34.1 包含一项针对其发起的 Web 查询的安全修复。在 v1.8 至 v1.34.0 版本中，拥有实例配置写权限的 API 密钥持有者可能利用漏洞，通过 Meilisearch 向私有网络内的本地 IP 或域名发送 POST/GET 请求，从而绕过防火墙。此次修复禁止 Meilisearch 向任何解析为非全局 IP（依据 IANA 特殊用途地址注册表定义）的主机发起请求，这是一项为了安全而允许的破坏性变更。如需恢复旧版行为，可通过新增的 --experimental-allowed-ip-networks CLI 参数（或对应环境变量）显式设置允许的私有 IP 网络，或将其设为 any 以允许所有请求。Cloud 用户无需操作，开源用户若允许不受信任者配置网络相关功能，建议升级。漏洞报告已提交 CVE 请求，编号 1975471。

更新内容 （中文）

在 Meilisearch v1.34.1 中，我们发布了一项安全修复，该修复影响了由 Meilisearch 发起的 Web 查询。

🔐 安全

  • 云用户：无需采取任何行动。我们未发现 Meilisearch Cloud 上存在任何利用的证据，且云平台已在基础设施层面受到保护。
  • 开源用户：如果您允许不受信任的用户配置 Webhook、嵌入器或机器网络，我们建议您更新至 Meilisearch v1.34.1。

在 Meilisearch v1.8 至 v1.34.0 版本中，拥有对 Meilisearch 实例配置 写入权限 的 API 密钥的用户，可以设置 Meilisearch 向 Meilisearch 实例私有网络内部的域和 IP 发送 POST 或 GET 请求，从而有效绕过防火墙。此漏洞尚未被分配 CVE 编号；其 CVE ID 为 CVE Request 1975471。

Meilisearch v1.34.1 通过禁止 Meilisearch 向解析为非全局 IP 的主机发起任何请求来修复此漏洞，这里的“非全局 IP”依据 IANA IPv4 特殊用途地址注册表 或 IANA IPv6 特殊用途地址注册表 的定义。如果您需要在 Meilisearch 实例中使用此功能，可以在评估安全影响后，使用 --experimental-allowed-ip-networks 参数将私有 IP 网络设置为允许。

这是一个重大更改，出于安全原因而允许实施。

允许非全局 IP 网络

--experimental-allowed-ip-networks CLI 标志和 MEILI_EXPERIMENTAL_ALLOWED_IP_NETWORKS 环境变量控制 Meilisearch 对非全局 IP 网络的行为，当两者同时指定时，CLI 标志优先于环境变量。

  • 当未设置时，默认行为是拒绝所有解析为非全局 IP 的 Web 请求。
  • 当设置为逗号分隔的 CIDR 格式网络列表（例如 192.168.0.0/16,10.0.0.0）时，则允许向列表中网络的 Web 请求。向不属于该列表的非全局 IP 发起的 Web 请求仍将被拒绝。
  • 当设置为 any 时，所有 Web 请求都将被允许，无论目标 IP 是什么，类似于 Meilisearch v1.34.0 及更低版本的行为。当您同时控制部署的 Meilisearch 实例的机器和配置时，请使用此选项。

致谢

感谢 Gabriel Rodrigues（别名 Texugo）报告此漏洞并帮助我们改进 Meilisearch 的安全性。

更新内容 （原始）

In Meilisearch v1.34.1, we released a security fix that affect web queries initiated by Meilisearch.

🔐 Security

  • Cloud users: no action is needed. We found no evidence of exploitation on Meilisearch Cloud and the Cloud is protected at the infrastructure level.
  • Open-source users: if you allow untrusted users to configure webhooks, embedders or network of machines, we recommend you update to Meilisearch v1.34.1

In Meilisearch versions v1.8 to v1.34.0, a user with an API key with write permissions to the configuration of the Meilisearch instance could set up Meilisearch to send POST or GET requests to domains and IPs local to the private network of the Meilisearch instance, effectively bypassing the firewall. The vulnerability has not yet been assigned a CVE number; it has CVE Request 1975471 for CVE ID.

Meilisearch v1.34.1 fixes the vulnerability by forbidding Meilisearch from making any requests to a host resolving to a non-global IP, in the sense of the IANA IPv4 Special-Purpose Address Registry or the IANA IPv6 Special-Purpose Address Registry. If you need this functionality in your Meilisearch instance, you can set private IP networks as allowed with the --experimental-allowed-ip-networks parameter after reviewing the security implications.

This is a breaking change, which is allowed for security reasons.

Allowing non-global IP networks

The --experimental-allowed-ip-networks CLI flag and the MEILI_EXPERIMENTAL_ALLOWED_IP_NETWORKS environment variable control the behavior of Meilisearch with regards to non-global IP networks, with the CLI flag taking precedence over the environment variable when both are specified.

  • When missing, the default is to reject all web requests resolving to a non-global IP.
  • When set to a comma-separated list of CIDR-formatted networks (e.g. 192.168.0.0/16,10.0.0.0), then web requests to the networks from the list will be permitted. Web requests to the non-global IPs not part of the list will still be rejected.
  • When set to any, all web requests will be permitted regardless of the target IP, similar to the behavior of Meilisearch v1.34.0 and lower. Use this option when you control both the machine and the configuration of the deployed Meilisearch instance.

Acknowledgments

Thanks to Gabriel Rodrigues (aka Texugo), for reporting this vulnerability and for helping us improve the security of Meilisearch.

下载链接