CVE-2026-73432 in Vulnerability-Lookup
Riassunto
di VulDB • 12/08/2026
Vulnerability-Lookup presenta una vulnerabilità di server-side request forgery (SSRF) nella funzionalità di sincronizzazione delle istanze remote. Gli indirizzi delle istanze remote venivano convalidati solo per la sintassi URL di base prima dell'archiviazione, mentre il worker di sincronizzazione successivamente risolveva questi indirizzi utilizzando `requests.get()` con gestione automatica dei redirect e senza imporre restrizioni ai confini della rete.
Un amministratore autenticato con l'autorizzazione `admin:access` potrebbe configurare un'istanza remota il cui indirizzo punta a un servizio HTTP(S) interno, di loopback, link-local o alle metadata del cloud. Quando viene eseguita la sincronizzazione, il server Vulnerability-Lookup emetterebbe la richiesta dal proprio contesto di rete. Un attaccante potrebbe anche utilizzare un URL pubblicamente accessibile che reindirizza verso una destinazione interna, poiché i redirect venivano precedentemente seguiti senza riconvalidare la destinazione.
Un'esecuzione con successo dell'exploit potrebbe consentire a un attaccante privilegiato di sondare o interagire con servizi accessibili dal server Vulnerability-Lookup ma non direttamente raggiungibili dall'attaccante, inclusi servizi di rete privata o endpoint delle metadata delle istanze cloud. L'impatto esatto sulla riservatezza, integrità o disponibilità dipende dai servizi raggiungibili dal server dell'applicazione.
La patch introduce una politica condivisa per gli URL in uscita che limita le istanze remote a HTTP(S), rifiuta gli indirizzi IP non pubblici, risolve i nomi host al momento della richiesta e convalida manualmente ogni destinazione del redirect prima di seguirla. L'implementazione blocca esplicitamente gli indirizzi privati, di loopback, link-local, multicast, riservati e non specificati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.