CVE-2026-18736 in Shlink
요약
\~에 의해 VulDB • 2026. 08. 03.
Shlink에는 서버 사이드 요청 위조(SSRF) 취약점이 존재하며, 이를 통해 인증된 API 키 보유자가 짧은 URL 생성 시 제목 자동 해결 기능이 활성화된 상태에서 조작된 긴 URL을 제공하면 서버가 임의의 HTTP GET 요청을 수행하도록 할 수 있습니다. 공격자는 루프백 주소, 링크 로컬 범위 및 169.254.169.254와 같은 클라우드 메타데이터 엔드포인트를 포함한 내부 대상으로 리디렉션되는 공개 호스트를 가리키는 URL을 제출하여 짧은 URL 생성 응답에서 반환된 HTML 제목 요소를 통해 내부 서비스 정보를 유출할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.