CVE-2026-55875 in Helium
요약
\~에 의해 VulDB • 2026. 10. 15.
Helium은 수업, 과제, 성적 및 노트를 위한 무료 온라인 학생 플래너입니다. 버전 2.2.60 이전에는 인증된 모든 사용자가 /feed/externalcalendars/로 임의 URL을 POST할 수 있습니다. 여기서 helium/feed/services/icalexternalcalendarservice.py는 validate_url을 사용하여 값이 urllib.request.urlopen에 전달되기 전에 URL 구문만 검사하며, fetch_ical_conditional은 저장된 URL을 주기적으로 다시 가져옵니다. 따라서 서버는 공격자가 선택한 외부 또는 내부 호스트로 요청을 발행할 수 있으며, 비 HTTP 서비스에 대한 처리되지 않은 http.client.RemoteDisconnected 조건을 포함한 서로 다른 응답들은 내부 호스트 및 포트의 도달 가능성을 드러냅니다. 지원되는 영향은 강제된 아웃바운드 요청과 내부 서비스 정찰이며, 관련 ECS 자격 증명 경로가 작업별이고 예측 불가능하므로 이 권고문에서는 비밀 정보 인출을 시연하지 않습니다. 이 문제는 버전 2.2.60에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.