CVE-2026-18738
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Shlink w wersjach 5.0.0 do 5.1.5 zawiera podatność na wstrzykiwanie formuł CSV. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do dowolnego skróconego URL-a, umieszczając złośliwe wartości w nagłówkach User-Agent, Referer lub ścieżce żądania, które zaczynają się od znaków wyzwalających formuły (=, +, -, @). Po wyeksportowaniu danych wizyt do pliku CSV i otwarciu go w programie arkuszowym, formuły DDE lub WEBSERVICE są wykonywane na komputerze administratora.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu na komputerze administratora po otwarciu pliku CSV, co może prowadzić do przejęcia kontroli nad stacją roboczą i kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Shlink do wersji 5.1.6 lub nowszej, która usuwa tę podatność. Należy również rozważyć stosowanie narzędzi do sanityzacji danych eksportowanych do CSV.
Inne podatności w Shlink
Zobacz wszystkie- CVE-2026-50887Krytyczne
W wersji 5.0.1 shlink występuje podatność typu Server-Side Request Forgery (SSRF) w automatycznym komponencie rozwiązywania tytułów krótkich URL, co pozwala atakującym na skanowanie zasobów wewnętrznych poprzez dostarczenie spreparowanego longUrl.
- CVE-2026-18737Średnie
Shlink zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala każdemu posiadaczowi klucza API na wstrzyknięcie dowolnych fragmentów SQL poprzez niezweryfikowaną wartość direction w parametrze orderBy endpointu statystyk tagów. Atakujący może skonstruować złośliwy string direction zawierający podzapytania SQL, które trafiają niesanityzowane do klauzuli ORDER BY Doctrine QueryBuilder, umożliwiając ekstrakcję wrażliwych danych, takich jak długie URL-e, rekordy odwiedzin, adresy IP, dane geolokalizacyjne, user-agenty oraz zahaszowane sekrety kluczy API.
- CVE-2026-18736Średnie
Shlink zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym posiadaczom klucza API na zmuszenie serwera do wysłania dowolnych żądań HTTP GET poprzez podanie spreparowanego długiego URL-a podczas tworzenia skróconego URL-a z włączoną automatyczną rozdzielczością tytułu. Atakujący mogą użyć URL-i wskazujących na publiczne hosty, które przekierowują do wewnętrznych celów, w tym adresów loopback, zakresów link-local oraz endpointów metadanych chmury, takich jak 169.254.169.254, w celu eksfiltracji informacji o usługach wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
Shlink versions 5.0.0 through 5.1.5 contain a CSV formula injection vulnerability that allows unauthenticated remote attackers to plant spreadsheet formulas into exported visit data by supplying malicious values in User-Agent, Referer, or request path headers beginning with formula-triggering characters such as =, +, -, or @. Attackers can craft a single unauthenticated request against any short URL to embed DDE or WEBSERVICE formula payloads into CSV cells, which are then executed on an administrator's client machine when the exported CSV file is opened in a spreadsheet application that evaluates formulas.