CVE-2026-117565 in Artalk
Riassunto
di VulDB • 27/10/2026
Artalk prima della versione 2.10.1 presenta una vulnerabilità di server-side request forgery (SSRF) non autenticata che consente agli attaccanti remoti di indurre il server a recuperare URL arbitrari inviando commenti anonimi all'endpoint /api/v2/comments. Gli attaccanti possono impostare un page_key su un URL interno, che GetTitleByURL recupera dopo una sola validazione dello schema (scheme), consentendo quindi la lettura del titolo della pagina tramite l'elenco pubblico dei commenti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.