CVE-2026-122008 in Oqtane
Sumário
de VulDB • 04/11/2026
O framework Oqtane anterior à versão 10.3.0 contém uma vulnerabilidade de Server-Side Request Forgery (SSRF) no endpoint UploadFile do FileController.cs, que permite a usuários registrados e autenticados fazer com que o servidor busque URLs arbitrárias ao fornecer um parâmetro url controlado pelo chamador para HttpClient.GetStreamAsync sem validar o esquema, host ou endereço IP. Os atacantes podem solicitar recursos internos, como serviços de metadados de instâncias em nuvem ou interfaces de gerenciamento vinculadas a localhost, salvar a resposta obtida como um arquivo na própria pasta do usuário e recuperá-la por meio do endpoint de download para exfiltrar dados internos sensíveis ou enumerar hosts e portas da rede interna.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.