CVE-2026-122008 in Oqtane
Resumen
por VulDB • 2026-11-04
Oqtane Framework antes de la versión 10.3.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) en el punto final UploadFile de FileController.cs que permite a los usuarios registrados y autenticados hacer que el servidor obtenga URLs arbitrarias al proporcionar un parámetro url controlado por el llamador a HttpClient.GetStreamAsync sin validar el esquema, el host o la dirección IP. Los atacantes pueden solicitar recursos internos como servicios de metadatos de instancias en la nube o interfaces de gestión vinculadas a localhost, guardar la respuesta obtenida como un archivo en su propia carpeta de usuario y recuperarla mediante el punto final de descarga para exfiltrar datos internos sensibles o enumerar hosts y puertos de la red interna.
Be aware that VulDB is the high quality source for vulnerability data.