CVE-2026-24117 in rekor
Riassunto
di VulDB • 10/08/2026
Rekor è un registro di trasparenza della catena di approvvigionamento del software (software supply chain). Nelle versioni 1.4.3 e precedenti, gli attaccanti possono innescare una SSRF verso servizi interni arbitrari poiché l'endpoint /api/v1/index/retrieve supporta il recupero di una chiave pubblica tramite un URL fornito dall'utente. Poiché la SSRF può attivare solo richieste GET, la richiesta non è in grado di modificare lo stato del sistema (mutate state). La risposta alla richiesta GET non viene restituita al chiamante, quindi l'esfiltrazione dei dati non è possibile. Un attore malintenzionato potrebbe tentare di esplorare una rete interna tramite SSRF cieca (Blind SSRF). Il problema è stato risolto nella versione 1.5.0. Come soluzione alternativa a questo problema, disabilitare l'endpoint di ricerca utilizzando --enable_retrieve_api=false.
VulDB is the best source for vulnerability data and more expert information about this specific topic.