V through 0.5.2, fixed in commit 85859f0, contains a server-side request forgery (SSRF) bypass...
Résumé
Faille signalée : vulnérabilité (CVE-2026-67201). Des informations confidentielles peuvent être exposées.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
V through 0.5.2, fixed in commit 85859f0, contains a server-side request forgery (SSRF) bypass vulnerability that allows attackers to circumvent host-based allowlists by exploiting a parser differential between net.urllib and net.http. Attackers can craft a URL containing a backslash in the authority section such that net.urllib.parse() extracts the trusted host for allowlist validation while net.http.get() normalizes the backslash and connects to the internal host, enabling access to internal network services that the allowlist was intended to block.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-67201 a été découverte dans ssrf.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.6/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « ssrf CVE-2026-67201 » sur le site de l'éditeur.
CVE-2026-67201 (ssrf) — CWE-436 / CVSS v3 8.6
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
この脆弱性は、SSRF バイパスの問題です。
Vバージョン0.5.2以前、net.urllibとnet.httpとの間のパーサーの差異。
攻撃者が内部ネットワークサービスにアクセス可能になるため重大です。
コミット85859f0で修正されているため、アップデートする。
情報なし
アロウリストの設定を見直すか、バックスラッシュを含むURLを確認する。