CVE-2026-18736
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Shlink zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym posiadaczom klucza API na zmuszenie serwera do wysłania dowolnych żądań HTTP GET poprzez podanie spreparowanego długiego URL-a podczas tworzenia skróconego URL-a z włączoną automatyczną rozdzielczością tytułu. Atakujący mogą użyć URL-i wskazujących na publiczne hosty, które przekierowują do wewnętrznych celów, w tym adresów loopback, zakresów link-local oraz endpointów metadanych chmury, takich jak 169.254.169.254, w celu eksfiltracji informacji o usługach wewnętrznych.
Ocena ryzyka
Ryzyko polega na możliwości eksfiltracji danych z wewnętrznych usług, takich jak metadane chmury, co może prowadzić do naruszenia poufności i dalszych ataków.
Rekomendacja
Zaleca się aktualizację Shlink do wersji, która zawiera poprawkę usuwającą tę podatność. Należy również wyłączyć automatyczną rozdzielczość tytułów, jeśli nie jest niezbędna, oraz stosować filtrowanie URL-i.
Inne podatności w Shlink
Zobacz wszystkie- CVE-2026-50887Krytyczne
W wersji 5.0.1 shlink występuje podatność typu Server-Side Request Forgery (SSRF) w automatycznym komponencie rozwiązywania tytułów krótkich URL, co pozwala atakującym na skanowanie zasobów wewnętrznych poprzez dostarczenie spreparowanego longUrl.
- CVE-2026-18738Średnie
Shlink w wersjach 5.0.0 do 5.1.5 zawiera podatność na wstrzykiwanie formuł CSV. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do dowolnego skróconego URL-a, umieszczając złośliwe wartości w nagłówkach User-Agent, Referer lub ścieżce żądania, które zaczynają się od znaków wyzwalających formuły (=, +, -, @). Po wyeksportowaniu danych wizyt do pliku CSV i otwarciu go w programie arkuszowym, formuły DDE lub WEBSERVICE są wykonywane na komputerze administratora.
- CVE-2026-18737Średnie
Shlink zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala każdemu posiadaczowi klucza API na wstrzyknięcie dowolnych fragmentów SQL poprzez niezweryfikowaną wartość direction w parametrze orderBy endpointu statystyk tagów. Atakujący może skonstruować złośliwy string direction zawierający podzapytania SQL, które trafiają niesanityzowane do klauzuli ORDER BY Doctrine QueryBuilder, umożliwiając ekstrakcję wrażliwych danych, takich jak długie URL-e, rekordy odwiedzin, adresy IP, dane geolokalizacyjne, user-agenty oraz zahaszowane sekrety kluczy API.
Oryginalny opis (angielski, źródło NVD)
Shlink contains a server-side request forgery vulnerability that allows authenticated API key holders to cause the server to issue arbitrary HTTP GET requests by supplying a crafted long URL during short URL creation with title auto-resolution enabled. Attackers can submit URLs pointing to public hosts that redirect to internal targets, including loopback addresses, link-local ranges, and cloud metadata endpoints such as 169.254.169.254, to exfiltrate internal service information via the HTML title element returned in the short URL creation response.