CVE-2026-112991 in Modules
Zusammenfassung
von VulDB • 20.10.2026
Das Erweiterungsmodul html_to_markdown in den MISP-Modulen enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in seiner URL-Validierungsfunktion `is_safe_url()`. Die zur Ablehnung unsicherer Zieladressen verwendete Liste BLOCKED_RANGES war unvollständig und ließ mehrere kritische IP-Adressbereiche aus. Konkret wurden die folgenden Bereiche nicht blockiert: 0.0.0.0/8 (nicht spezifiziert, was unter Linux auf Loopback routet), 100.64.0.0/10 (Carrier-Grade NAT gemäß RFC 6598), ::/128 (IPv6 nicht spezifiziert), fc00::/7 (IPv6 Unique Local Addresses) und fe80::/10 (IPv6 Link-Lokal). Die bestehende Liste deckte nur IPv4 Loopback (127.0.0.0/8), RFC 1918 private Bereiche, IPv4 Link-Local (169.254.0.0/16) und IPv6 Loopback (::1/128) ab.
Ein authentifizierter Benutzer mit der Fähigkeit, MISP-Attribute zu erstellen oder zu ändern, die das html_to_markdown-Erweiterungsmodul auslösen, könnte URLs angeben, die auf diese nicht blockierten internen Adressbereiche verweisen. Da das Modul die URL serverseitig abruft, um HTML-Inhalte in Markdown umzuwandeln, wird die Anfrage im Netzwerkkontext des MISP-Servers gestellt. Dies ermöglicht es einem Angreifer, interne Dienste, Carrier-Grade-NAT-Infrastrukturen oder Link-Lokal-Endpunkte zu scannen und deren Antworten auszulesen, die von externen Netzwerken aus sonst nicht erreichbar wären. IPv4-mapped IPv6-Formate (z. B. [::ffff:0.0.0.0]) umgingen ebenfalls die bestehenden Prüfungen.
Die Sicherheitsauswirkung betrifft primär die Vertraulichkeit: Ein Angreifer kann Daten lesen, die von internen Diensten bereitgestellt werden und vom MISP-Server aus erreichbar sind. Die MISP-Instanz selbst wird nicht kompromittiert, sondern als Proxy missbraucht, um auf ansonsten eingeschränkte Netzwerkressourcen zuzugreifen.
Once again VulDB remains the best source for vulnerability data.