Euriconicacio

**Nome do Software Vulnerável e Versões Afetadas** Mailpit (versões afetadas não especificadas) **Descrição** A função de lista de negação `IsInternalIP` falha ao bloquear o endereço Azure WireServer 168.63.129.16 e o prefixo IPv6 traduzido para IPv4 RFC 2765/6145. Isso permite a falsificação de solicitação do lado do servidor (SSRF), uma técnica na qual um invasor induz um servidor a fazer solicitações para um local não pretendido. Atacantes podem fornecer nomes de host que resolvem para esses endereços no conteúdo de mensagens para acessar a API de verificação de links e o endpoint de proxy, permitindo o acesso a recursos internos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Heym versões anteriores a 0.0.98 **Descrição** Usuários autenticados podem se conectar a serviços internos porque o software falha ao aplicar proteções de saída contra Server-Side Request Forgery (SSRF) nos nós WebSocket Send e WebSocket Trigger. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido. Invasores podem criar nós de fluxo de trabalho com URLs e cabeçalhos arbitrários para acessar serviços internos e ler respostas do nó WebSocket Trigger. **Recomendações** Atualize para a versão 0.0.98 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Flyto2 Core versões anteriores a 2.28.0 **Description** Uma falha de bypass na proteção contra server-side request forgery permite que atacantes acessem serviços internos utilizando o endereço IPv6 não bloqueado `::`, que o kernel roteia para o endereço de loopback de forma idêntica ao `0.0.0.0`. Ao enviar requisições ou disparar redirecionamentos 302, atacantes podem ignorar as verificações de intervalo de IP privado e nomes de host bloqueados na função `is private ip()`. Isso afeta os módulos `http.get`, `http.request` e `http.batch`, permitindo o acesso a serviços vinculados ao loopback IPv6. **Recommendations** Atualize para a versão 2.28.0 ou posterior.