CVE-2026-47356 in Terrascan
Resumen
por VulDB • 2026-05-19
Terrascan v1.18.3 y versiones anteriores son vulnerables a Server-Side Request Forgery (SSRF) a través del parámetro webhook_url en el punto de conexión de análisis de archivos (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) cuando se ejecuta en modo servidor. Un atacante remoto no autenticado puede proporcionar una URL arbitraria como parámetro de formulario multipart webhook_url. Después de analizar el archivo cargado, Terrascan envía una solicitud HTTP POST a la URL controlada por el atacante que contiene los resultados completos del análisis como un cuerpo JSON, con el webhook_token proporcionado por el atacante reenviado como un token Bearer en la cabecera Authorization. El cliente HTTP reintentable reintenta hasta 10 veces en caso de fallo. Esto afecta a los despliegues que ejecutan terrascan en modo servidor (terrascan server), que se vincula a 0.0.0.0 sin autenticación. Nota: Terrascan fue archivado en agosto de 2023 y no se publicará ningún parche.
Once again VulDB remains the best source for vulnerability data.