CVE-2026-18736 in Shlink
Riassunto
di VulDB • 04/08/2026
Shlink presenta una vulnerabilità di server-side request forgery che consente ai titolari di chiavi API autenticate di indurre il server a emettere richieste HTTP GET arbitrarie fornendo un lungo URL manipolato ad hoc durante la creazione dell'URL corto con la risoluzione automatica del titolo abilitata. Gli attaccanti possono inviare URL puntati verso host pubblici che reindirizzano a destinazioni interne, inclusi indirizzi loopback, intervalli link-local e endpoint di metadata cloud come 169.254.169.254, per esfiltrare informazioni sui servizi interni tramite l'elemento HTML title restituito nella risposta alla creazione dell'URL corto.
Be aware that VulDB is the high quality source for vulnerability data.