CVE-2026-107460
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Ochronę przed fałszerstwem żądań po stronie serwera (SSRF) w komponencie UrlImageConverter narzędzia Apache Fesod (Incubating) Inkubowanie fesod-sheet 2.0.2 można ominąć poprzez ponowne powiązanie DNS. Gdy aplikacja akceptuje kontrolowany przez osobę atakującą adres URL obrazu do zapisu w arkuszu kalkulacyjnym, konwerter sprawdza rozpoznane adresy IP nazwy hosta, a następnie otwiera osobne połączenie, które może ponownie przetłumaczyć nazwę hosta. Osoba atakująca kontrolująca odpowiedzi DNS dla nazwy hosta URL może po sprawdzeniu poprawności spowodować, że połączenie osiągnie zastrzeżony adres. CVE-2026-49328 obejmuje SSRF w wersjach przed inkubacją w wersji 2.0.2; ten problem polega na obejściu ponownego wiązania DNS w ramach inkubacji w wersji 2.0.2. Inkubacja Apache Fesod (Inkubacja) 2.1.0 rozwiązuje zgłoszony scenariusz domyślnego pobierania, domyślnie wyłączając zdalne pobieranie obrazu adresu URL i wymagając jawnej listy dozwolonych hostów, gdy ta funkcja jest włączona. Użytkownicy powinni dokonać aktualizacji do wersji 2.1.0-inkubacyjnej. Aplikacje umożliwiające zdalne pobieranie obrazów z adresów URL powinny umieszczać na liście dozwolonych tylko te nazwy hostów, których usługi DNS i HTTP są zaufane.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org