CVE-2026-115411

ŚrednieCVSS 5.0

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

crawlseo przed wersją 0.2.4 zawiera podatność typu server-side request forgery w silniku crawlera, gdzie isPrivateIp() nie blokuje zarezerwowanych zakresów IP, takich jak RFC 6598 Carrier-Grade NAT, RFC 6890, zakresy TEST-NET i niektóre adresy IPv6, a dodatkowo nie przypina zweryfikowanego adresu do rzeczywistego połączenia wychodzącego, co umożliwia obejście przez DNS rebinding (TOCTOU). Uwierzytelniony atakujący może dodać złośliwą domenę wskazującą na adres wewnętrzny lub zastrzeżony, wywołać crawl do usług wewnętrznych lub punktów metadanych chmury, takich jak 169.254.169.254, i odczytać tytuł, opis, nagłówki, kod statusu i linki pobranej strony przez API wyników crawla, umożliwiając rekonesans sieci wewnętrznej.

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych usług i metadanych chmury, co może prowadzić do ujawnienia danych uwierzytelniających i dalszej eskalacji.

Rekomendacja

Zaktualizuj crawlseo do wersji 0.2.4 lub nowszej i ogranicz dostęp sieciowy aplikacji do niezbędnych zasobów.

Inne podatności w crawlseo

CVE-2026-115400Średnie
crawlseo przed wersją 0.2.5 zawiera podatność polegającą na przechowywaniu danych w postaci jawnej, która pozwala atakującym z dostępem do odczytu bazy danych uzyskać tokeny dostępu i odświeżania Google OAuth przechowywane bez szyfrowania w kolumnie User.googleTokens. Atakujący mogą odczytać jawne, długotrwałe tokeny odświeżania z przejętej lub ujawnionej bazy Postgres, aby uzyskać nieograniczony, nieuwierzytelniony dostęp do danych Google Search Console wszystkich zarejestrowanych użytkowników.

Oryginalny opis (angielski, źródło NVD)

crawlseo before version 0.2.4 contains a server-side request forgery vulnerability in its crawler engine where isPrivateIp() fails to block reserved IP ranges such as RFC 6598 Carrier-Grade NAT, RFC 6890, TEST-NET ranges and certain IPv6 addresses, and additionally fails to pin the validated address for the actual outbound connection, allowing a TOCTOU DNS rebinding bypass. An authenticated attacker can add a malicious domain that resolves to an internal or restricted address, trigger a crawl to reach internal services or cloud metadata endpoints like 169.254.169.254, and retrieve the fetched page's title, description, headings, status code and links through the crawl results API, enabling internal network reconnaissance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS