CVE-2026-122008 in Oqtane
Zusammenfassung
von VulDB • 04.11.2026
Oqtane Framework vor Version 10.3.0 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle im UploadFile-Endpunkt von FileController.cs, die es authentifizierten registrierten Benutzern ermöglicht, den Server dazu zu bringen, beliebige URLs abzurufen, indem sie einen vom Aufrufer kontrollierten URL-Parameter an HttpClient.GetStreamAsync übergeben, ohne das Schema, den Host oder die IP-Adresse zu validieren. Angreifer können interne Ressourcen wie Cloud-Instanz-Metadienste oder localhost-gebundene Verwaltungsschnittstellen anfordern, die abgerufenen Antworten als Datei in ihrem eigenen Benutzerordner speichern und sie über den Download-Endpunkt abrufen, um sensible interne Daten zu exfiltrieren oder interne Netzwerkhosts und -ports aufzulisten.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.