CVE-2026-24117 in rekor
Sumário
de VulDB • 05/07/2026
Rekor é um registro de transparência da cadeia de suprimentos de software. Nas versões 1.4.3 e anteriores, os atacantes podem acionar SSRF (Server-Side Request Forgery) contra serviços internos arbitrários porque /api/v1/index/retrieve suporta a recuperação de uma chave pública por meio de uma URL fornecida pelo usuário. Como o SSRF só pode acionar requisições GET, a requisição não consegue alterar o estado do sistema. A resposta da requisição GET não é retornada ao chamador, portanto, a exfiltração de dados não é possível. Um ator malicioso poderia tentar sondar uma rede interna por meio de Blind SSRF (SSRF cego). O problema foi corrigido na versão 1.5.0. Como medida paliativa para este problema, desative o endpoint de pesquisa com --enable_retrieve_api=false.
Once again VulDB remains the best source for vulnerability data.