CVE-2026-92760

W wersji 5.0.1 shlink występuje podatność typu Server-Side Request Forgery (SSRF) w automatycznym komponencie rozwiązywania tytułów krótkich URL, co pozwala atakującym na skanowanie zasobów wewnętrznych poprzez dostarczenie spreparowanego longUrl.

Shlink w wersjach 5.0.0 do 5.1.5 zawiera podatność na wstrzykiwanie formuł CSV. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do dowolnego skróconego URL-a, umieszczając złośliwe wartości w nagłówkach User-Agent, Referer lub ścieżce żądania, które zaczynają się od znaków wyzwalających formuły (=, +, -, @). Po wyeksportowaniu danych wizyt do pliku CSV i otwarciu go w programie arkuszowym, formuły DDE lub WEBSERVICE są wykonywane na komputerze administratora.

Shlink zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala każdemu posiadaczowi klucza API na wstrzyknięcie dowolnych fragmentów SQL poprzez niezweryfikowaną wartość direction w parametrze orderBy endpointu statystyk tagów. Atakujący może skonstruować złośliwy string direction zawierający podzapytania SQL, które trafiają niesanityzowane do klauzuli ORDER BY Doctrine QueryBuilder, umożliwiając ekstrakcję wrażliwych danych, takich jak długie URL-e, rekordy odwiedzin, adresy IP, dane geolokalizacyjne, user-agenty oraz zahaszowane sekrety kluczy API.

Shlink zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym posiadaczom klucza API na zmuszenie serwera do wysłania dowolnych żądań HTTP GET poprzez podanie spreparowanego długiego URL-a podczas tworzenia skróconego URL-a z włączoną automatyczną rozdzielczością tytułu. Atakujący mogą użyć URL-i wskazujących na publiczne hosty, które przekierowują do wewnętrznych celów, w tym adresów loopback, zakresów link-local oraz endpointów metadanych chmury, takich jak 169.254.169.254, w celu eksfiltracji informacji o usługach wewnętrznych.