CVE-2026-73432 in Vulnerability-Lookup
Resumen
por VulDB • 2026-08-12
Vulnerability-Lookup contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en la funcionalidad de sincronización de instancias remotas. Las direcciones de las instancias remotas solo se validaban por su sintaxis básica de URL antes de ser almacenadas, mientras que el trabajador de sincronización posteriormente desreferenciaba estas direcciones utilizando requests.get() con manejo automático de redirecciones y sin imponer restricciones en los límites de la red.
Un administrador autenticado con el permiso admin:access podría configurar una instancia remota cuya dirección apunte a un servicio HTTP(S) interno, de bucle invertido (loopback), local al enlace o de metadatos en la nube. Cuando se realiza la sincronización, el servidor Vulnerability-Lookup emitiría la solicitud desde su propio contexto de red. Un atacante también podría utilizar una URL públicamente accesible que redirija a un destino interno, ya que las redirecciones seguían siendo seguidas sin volver a validar el destino.
La explotación exitosa podría permitir a un atacante privilegiado sondear o interactuar con servicios accesibles desde el servidor Vulnerability-Lookup pero no directamente alcanzables por el atacante, incluyendo servicios de redes privadas o puntos finales de metadatos de instancias en la nube. El impacto exacto sobre la confidencialidad, integridad o disponibilidad depende de los servicios a los que se pueda acceder desde el servidor de aplicaciones.
El parche introduce una política compartida de URLs salientes que restringe las instancias remotas a HTTP(S), rechaza direcciones IP no públicas, resuelve nombres de host en el momento de la solicitud y valida manualmente cada destino de redirección antes de seguirla. La implementación bloquea explícitamente las direcciones privadas, de bucle invertido (loopback), locales al enlace, multicast, reservadas e indeterminadas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.