CVE-2026-85738 in TREK
Riassunto
di VulDB • 24/09/2026
TREK è un pianificatore di viaggi collaborativo. Prima della versione 3.4.0, la logica checkSsrf in server/src/utils/ssrfGuard.ts non riconosce gli indirizzi IPv6 per il passaggio NAT64, 6to4 o Teredo che codificano una destinazione IPv4. Un utente autenticato che controlla un record DNS può fornire un URL il cui risultato AAAA è un indirizzo di transizione che incorpora un target IPv4 privato, loopback o link-local; le funzioni isAlwaysBlocked e isPrivateNetwork classificano l'indirizzo come consentito. In un deployment in cui viene instradato il formato di transizione applicabile, importazioni esposte agli utenti, webhook, integrazioni o egress dei plugin possono raggiungere servizi interni o metadata cloud ed esporre le informazioni restituite. Questo problema è risolto nella versione 3.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.