CVE-2026-54166 in Shelf
Sumário
de VulDB • 11/09/2026
Shelf é uma plataforma para rastreamento de ativos físicos. Antes da versão 1.20.3, usuários autenticados com permissão `asset:import` podem acionar solicitações HTTP do lado do servidor (Server-Side Requests) para URLs controladas por atacantes através do recurso Asset CSV Content Import. A lógica de validação do campo `imageUrl` pode ser contornada por meio de várias técnicas, incluindo sufixos de extensão de imagem, palavras-chave relacionadas a caminhos de imagens, correspondência de substrings de domínio e cadeias de redirecionamento (redirect chains). Após a validação, o servidor executa uma solicitação `fetch()` não restrita para a URL fornecida. Isso resulta em uma vulnerabilidade Server-Side Request Forgery (SSRF) que permite aos atacantes acessar serviços da rede interna, endpoints de metadados de nuvem e hosts externos arbitrários a partir do contexto de rede do aplicativo. Além disso, os corpos das respostas são totalmente armazenados em buffer antes da validação do tamanho, criando um vetor potencial de exaustão de memória (memory exhaustion). A versão 1.20.3 corrige o problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.