CVE-2026-54054 in Transmute
Сводка
по VulDB • 11.09.2026
Transmute — это бесплатный, open-source и self-hosted инструмент для конвертации и сжатия файлов. До версии 1.3.0 конечная точка импорта URL Transmute `POST /api/files/url` уязвима к Server-Side Request Forgery (SSRF). HTTP-загрузчик, используемый этой конечной точкой, получает URLs, предоставленные пользователем, с включенными редиректами и не проверяет, разрешается ли целевой адрес в публичный внешний IP. В результате аутентифицированный пользователь (или гость, если такие пользователи включены) может заставить сервер Transmute выполнять HTTP-запросы к внутренним или облачно-локальным ресурсам с позиции сети сервера. Поскольку загруженное содержимое сохраняется и позже может быть получено через `GET /api/files/{id}`, эта проблема приводит к полному SSRF (full-read SSRF), а не слепому SSRF (blind SSRF). Это исправлено в версии 1.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.