CVE-2026-54054 in Transmute
요약
\~에 의해 VulDB • 2026. 09. 11.
Transmute는 무료, 오픈소스이며 자체 호스팅되는 파일 변환 및 압축 도구입니다. 버전 1.3.0 이전의 Transmute에서 URL 가져오기 엔드포인트(`POST /api/files/url`)는 서버 사이드 요청 위조(SSRF) 취약점에 노출되어 있습니다. 이 엔드포인트가 사용하는 HTTP 다운로더는 리디렉션이 활성화된 상태로 사용자가 제공한 URL을 가져오며, 대상 주소가 공개적이고 외부의 주소인지 여부를 검증하지 않습니다. 그 결과, 인증된 사용자(또는 활성화된 경우 게스트 사용자)가 Transmute 서버로 하여금 서버의 네트워크 위치에서 내부 또는 클라우드 로컬 자원에 대한 HTTP 요청을 수행하도록 할 수 있습니다. 다운로드된 콘텐츠는 저장되며 나중에 `GET /api/files/{id}`를 통해 검색할 수 있으므로, 이 문제는 블라인드 SSRF가 아닌 완전 읽기(SSRF) 취약점으로 이어질 수 있습니다. 이 문제는 버전 1.3.0에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.