SSRF (Falsification de requête côté serveur) dans @steipete/… (CVE-2026-53782, CVSS 7.4)

Résumé

SSRF dans @steipete/summarize (CVE-2026-53782). Des informations confidentielles peuvent être exposées. Exploitable via agy. Atténuation : mise à jour vers 0.17.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summarize before 0.17.0 contains a server-side request forgery vulnerability that allows attackers who control a podcast RSS feed to direct the host to fetch transcript content from loopback addresses, link-local addresses, RFC 1918 private ranges, or other reserved destinations by supplying malicious podcast:transcript URL values. Attackers can bypass protections through DNS rebinding and redirect-based techniques, as redirect targets are not revalidated and hostnames are not resolved before request dispatch, exposing internal service responses through the summarization flow.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-53782 a été découverte dans ssrf.
Des attaquants peuvent cibler un point d'entrée spécifique comme agy à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.4/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « ssrf CVE-2026-53782 » sur le site de l'éditeur.

CVE-2026-53782 (ssrf) — CWE-918 / CVSS v3 7.4
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : agy / ffmpeg / ffprobe / fileMtime
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Summarizeのバージョン0.17.0より前におけるSSRFの脆弱性。

📍 Périmètre concerné

Summarizeアプリケーションのバージョン0.17.0より前。

🔥 Gravité

攻撃者は、内部サービスへのリクエストを強制し、その応答を取得できるため重大です。

🔧 Comment corriger

バージョン0.17.0以降にアップデートしてください。

🛡️ Contournement

DNSリバインド防止や適切なリダイレクト先検証を行うこと。

🔍 Détection

ログを監視し、不審なリクエストを特定します。

Paquets affectés

npm @steipete/summarize

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"0.17.0"}]}]

SSRF (Falsification de requête côté serveur) dans @steipete/summarize (CVE-2026-53782)

Résumé

Description d'origine

Résumé IA

Paquets affectés

Références