SSRF (Falsification de requête côté serveur) dans Golang (CVE-2026-71280, CVSS 8.5)

Résumé

SSRF dans Golang (CVE-2026-71280). Des informations confidentielles peuvent être exposées. Exploitable via POST /api/bookmark.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

go-shiori's DownloadBookmark() (internal/core/download.go) fetches a caller-supplied bookmark URL using a plain http.Client with no custom DialContext or destination-IP validation (no IsLoopback(), IsPrivate(), IsUnspecified(), or IsLinkLocalUnicast() checks). An authenticated user creating or updating a bookmark via POST /api/bookmark, PUT /api/v1/bookmarks/cache, or POST /api/bookmarks/ext can supply a loopback (127.0.0.1) or 0.0.0.0 (which Linux redirects to loopback) URL, causing the server to make outbound requests to internal-only services, cloud metadata endpoints, or other network-restricted resources.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-71280 a été découverte dans ssrf.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /api/bookmark à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « ssrf CVE-2026-71280 » sur le site de l'éditeur.

CVE-2026-71280 (ssrf) — CWE-918 / CVSS v3 8.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : POST /api/bookmark / PUT /api/v1/bookmarks/cache / POST /api/bookmarks/ext
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

go-shioriのDownloadBookmark()でSSRFの脆弱性が発生。

📍 Périmètre concerné

internal/core/download.go内のDownloadBookmark()関数。

🔥 Gravité

外部から内部リソースにアクセスできるため、重大なセキュリティリスクとなります。

🔧 Comment corriger

http.ClientにカスタムDialContextを設定し、IPアドレスの検証を行う。

🛡️ Contournement

一時的な回避策は情報なし。

🔍 Détection

内部リソースへの不要なアクセスが発生していないかをログから確認する。

SSRF (Falsification de requête côté serveur) dans Golang (CVE-2026-71280)

Résumé

Description d'origine

Résumé IA

Références