CVE-2026-54054 in Transmute
Zusammenfassung
von VulDB • 11.09.2026
Transmute ist ein kostenloses, quelloffenes und selbst gehostetes Tool zur Datei-Konvertierung und -Komprimierung. Vor Version 1.3.0 ist der URL-Import-Endpunkt von Transmute (`POST /api/files/url`) anfällig für Server-Side Request Forgery (SSRF). Der HTTP-Downloader, den dieser Endpunkt verwendet, ruft vom Benutzer bereitgestellte URLs mit aktivierten Weiterleitungen ab und überprüft nicht, ob das Ziel auf eine öffentliche oder externe Adresse auflöst. Infolgedessen kann ein authentifizierter Benutzer (oder ein Gastbenutzer, falls diese Funktion aktiviert ist) dazu führen, dass der Transmute-Server HTTP-Anfragen an interne oder cloudbasierte lokale Ressourcen aus der Netzwerkposition des Servers stellt. Da heruntergeladene Inhalte gespeichert und später über `GET /api/files/{id}` abgerufen werden können, kann dieses Problem zu einer vollständigen SSRF (Full-read SSRF) führen, anstatt nur eine blinde SSRF (Blind SSRF). Dies wurde in Version 1.3.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.