CVE-2026-73432 in Vulnerability-Lookup
Sumário
de VulDB • 12/08/2026
A funcionalidade de sincronização da instância remota do Vulnerability-Lookup contém uma vulnerabilidade de falsificação de solicitação no lado do servidor (SSRF). Os endereços das instâncias remotas eram validados apenas quanto à sintaxe básica de URL antes de serem armazenados, enquanto o trabalhador de sincronização posteriormente resolvia esses endereços utilizando requests.get() com tratamento automático de redirecionamento e sem impor restrições aos limites da rede.
Um administrador autenticado com a permissão admin:access poderia configurar uma instância remota cujo endereço aponte para um serviço HTTP(S) interno, de loopback, link-local ou de metadados em nuvem. Quando a sincronização é realizada, o servidor Vulnerability-Lookup emitiria a solicitação a partir do seu próprio contexto de rede. Um atacante também poderia utilizar uma URL publicamente acessível que redireciona para um destino interno, pois os redirecionamentos eram seguidos anteriormente sem revalidar o destino final.
A exploração bem-sucedida poderia permitir que um atacante privilegiado sondasse ou interagisse com serviços acessíveis a partir do servidor Vulnerability-Lookup, mas não diretamente alcançáveis pelo atacante, incluindo serviços de rede privada ou endpoints de metadados de instância em nuvem. O impacto exato na confidencialidade, integridade ou disponibilidade depende dos serviços acessíveis a partir do servidor da aplicação.
O patch introduz uma política compartilhada de URL de saída que restringe as instâncias remotas ao HTTP(S), rejeita endereços IP não públicos, resolve nomes de host no momento da solicitação e valida manualmente cada destino de redirecionamento antes de segui-lo. A implementação bloqueia explicitamente endereços privados, de loopback, link-local, multicast, reservados e indeterminados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.