willbesec

PipesHub: falsificação de pedidos no servidor permite aceder a endereços internos

O PipesHub, antes da versão 0.10.0, tem uma falha SSRF (falsificação de pedidos no servidor) no analisador de imagens, que permite alcançar endereços internos e metadados da nuvem. CVSS 6,4.

  • Identificador: CVE-2026-119712
  • Publicado em: 2026-10-30
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 6.4 (MEDIUM)

Descrição (texto original em inglês):

PipesHub before 0.10.0 contains a server-side request forgery vulnerability in ImageParser._fetch_single_url that allows attackers to make the indexing service fetch internal addresses by embedding image URLs in documents. Attackers can supply Markdown or HTML via uploads, synced mailboxes, or web connectors to reach loopback, private-network, or cloud metadata endpoints, with image responses embedded into indexed content.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1552.005, API de metadados da instância na nuvem (Cloud Instance Metadata API)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (github.com)github.com
  3. Referência (github.com)github.com
  4. Referência (github.com)github.com
  5. Técnica MITRE ATT&CK T1190attack.mitre.org
  6. Técnica MITRE ATT&CK T1552.005attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.