CVE-2026-112991
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Moduł rozszerzeń html_to_markdown w modułach MISP zawiera lukę w zabezpieczeniach umożliwiającą fałszowanie żądań po stronie serwera (SSRF) w funkcji sprawdzania poprawności adresu URL is_safe_url(). Lista BLOCKED_RANGES używana do odrzucania niebezpiecznych adresów docelowych była niekompletna i pomijała kilka krytycznych zakresów adresów IP. W szczególności nie zablokowano następujących zakresów: 0.0.0.0/8 (nieokreślony, które trasy prowadzą do pętli zwrotnej w systemie Linux), 100.64.0.0/10 (NAT klasy operatorskiej zgodnie z RFC 6598), ::/128 (nieokreślony IPv6), fc00::/7 (unikalne adresy lokalne IPv6) i fe80::/10 (lokalne łącze IPv6). Istniejąca lista obejmowała tylko pętlę zwrotną IPv4 (127.0.0.0/8), zakresy prywatne RFC 1918, lokalne łącze IPv4 (169.254.0.0/16) i pętlę zwrotną IPv6 (::1/128).
Uwierzytelniony użytkownik z możliwością tworzenia lub modyfikowania atrybutów MISP, które uruchamiają moduł rozszerzenia html_to_markdown, może podać adresy URL wskazujące te odblokowane wewnętrzne zakresy adresów. Ponieważ moduł pobiera adres URL po stronie serwera w celu konwersji treści HTML do języka Markdown, żądanie jest wysyłane z kontekstu sieciowego serwera MISP. Umożliwia to osobie atakującej sondowanie i odczytywanie odpowiedzi z usług wewnętrznych, infrastruktury NAT klasy operatorskiej lub punktów końcowych lokalnych łączy, które w innym przypadku byłyby nieosiągalne z sieci zewnętrznych. Formularze IPv6 mapowane na IPv4 (np. [::ffff:0.0.0.0]) również omijały istniejące kontrole.
Wpływ na bezpieczeństwo to przede wszystkim poufność: osoba atakująca może odczytać dane dostarczane przez usługi wewnętrzne dostępne z serwera MISP. Sama instancja MISP nie jest zagrożona, ale jest wykorzystywana jako serwer proxy w celu uzyskania dostępu do zasobów sieciowych, które w przeciwnym razie byłyby ograniczone.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org