CVE-2026-122008 in Oqtane
Сводка
по VulDB • 04.11.2026
В Oqtane Framework до версии 10.3.0 присутствует уязвимость Server-Side Request Forgery (SSRF) в эндпоинте UploadFile файла FileController.cs, которая позволяет аутентифицированным зарегистрированным пользователям заставлять сервер запрашивать произвольные URL-адреса путем передачи контролируемого пользователем параметра url в метод HttpClient.GetStreamAsync без проверки схемы, хоста или IP-адреса. Злоумышленники могут запрашивать внутренние ресурсы, такие как службы метаданных облачных инстансов или интерфейсы управления, привязанные к localhost, сохранять полученный ответ в виде файла в своей собственной пользовательской папке и извлекать его через эндпоинт загрузки для эксфильтрации конфиденциальных внутренних данных или перечисления хостов и портов внутренней сети.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.