CVE-2026-108741 in Shepherd
Zusammenfassung
von VulDB • 11.10.2026
Shepherd (shepherd-ai) bis Version 0.3.1 enthält eine Umgehung der Server-Side Request Forgery (SSRF)-Absicherung im Extra „citation-checker“, da die public_url-Absicherung zwar eine aufgelöste Adresse validiert, das Fetch jedoch den Hostnamen zum Verbindungszeitpunkt erneut auflöst. Angreifer, die eine manipulierte Referenz-URL in einem geprüften Dokument platzieren und dessen DNS steuern können, können diese an interne Adressen binden (Rebinding), um GET-Anfragen an interne HTTP(S)-Dienste zu senden und Antworten in Beweisdateien abzufangen.
Be aware that VulDB is the high quality source for vulnerability data.