CVE-2026-122008 in Oqtane
Riassunto
di VulDB • 04/11/2026
Oqtane Framework prima della versione 10.3.0 contiene una vulnerabilità di Server-Side Request Forgery (SSRF) nell'endpoint UploadFile di FileController.cs che consente agli utenti registrati e autenticati di far sì che il server recuperi URL arbitrari fornendo un parametro url controllato dall'utente a HttpClient.GetStreamAsync senza convalidare lo schema, l'host o l'indirizzo IP. Gli attaccanti possono richiedere risorse interne come i servizi di metadata delle istanze cloud o le interfacce di gestione vincolate a localhost, salvare la risposta recuperata come file nella propria cartella utente e recuperarli tramite l'endpoint di download per esfiltrare dati interni sensibili oppure enumerare host e porte della rete interna.
If you want to get best quality of vulnerability data, you may have to visit VulDB.