CVE-2026-115411
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
crawlseo przed wersją 0.2.4 zawiera w swoim silniku przeszukiwacza lukę umożliwiającą fałszowanie żądań po stronie serwera, polegającą na tym, że funkcja isPrivateIp() nie blokuje zarezerwowanych zakresów adresów IP, takich jak RFC 6598 Carrier-Grade NAT, RFC 6890, zakresy TEST-NET i niektóre adresy IPv6, a dodatkowo nie przypina zweryfikowanego adresu dla rzeczywistego połączenia wychodzącego, umożliwiając ominięcie ponownego wiązania DNS TOCTOU. Uwierzytelniony atakujący może dodać złośliwą domenę, która będzie rozpoznawana jako adres wewnętrzny lub zastrzeżony, uruchomić indeksowanie w celu dotarcia do usług wewnętrznych lub punktów końcowych metadanych w chmurze, takich jak 169.254.169.254, a także pobrać tytuł, opis, nagłówki, kod stanu i łącza pobranej strony za pośrednictwem interfejsu API wyników indeksowania, umożliwiając rozpoznanie sieci wewnętrznej.
>_ Słabości (CWE)
>_ Referencje
- https://gist.github.com/mansurmavlankulov/47cb8e183fec39a7afe599d1082a3399
- https://github.com/crawlseo/crawlseo/commit/76e4e693de0c6b294cf1f60656800e47346f1c28
- https://github.com/crawlseo/crawlseo/releases?page=1#release-v0.2.4
- https://www.vulncheck.com/advisories/crawlseo-before-server-side-request-forgery-via-crawler
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org