CVE-2026-73087
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Dozzle to przeglądarka logów w czasie rzeczywistym dla kontenerów Docker. Od wersji 10.5.2 do 10.6.15, ochrona SSRF isBlockedIP w internal/notification/dispatcher/webhook.go, używana przez safeDialContext dla adresów URL powiadomień webhook, nie sprawdza adresów IPv4 osadzonych w adresach IPv6 6to4, NAT64, Teredo lub kompatybilnych z IPv4, co pozwala uwierzytelnionemu użytkownikowi na dotarcie do celów loopback lub link-local, które ochrona ma blokować. Problem został naprawiony w wersji 10.6.15.
Ocena ryzyka
Ominięcie ochrony SSRF może umożliwić atakującemu dostęp do wewnętrznych usług i zasobów, co może prowadzić do naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj Dozzle do wersji 10.6.15 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Dozzle is a realtime log viewer for docker containers. From 10.5.2 until 10.6.15, the isBlockedIP SSRF guard in internal/notification/dispatcher/webhook.go, used by safeDialContext for webhook notification URLs, does not inspect IPv4 addresses embedded in 6to4, NAT64, Teredo, or IPv4-compatible IPv6 addresses, allowing an authenticated user to reach loopback or link-local targets that the guard intends to block. This issue is fixed in version 10.6.15.