CVE-2022-36048

Versões do Zulip Server anteriores à 5.6

O problema ocorre ao exibir mensagens com imagens remotas incorporadas. Normalmente, o Zulip carrega a pré-visualização da imagem por meio de um servidor proxy go-camo. No entanto, um invasor com capacidade de enviar mensagens poderia incluir uma URL manipulada que induzisse o servidor a incorporar diretamente uma referência a uma imagem remota. Isso poderia permitir que o invasor deduzisse o endereço IP do visualizador e informações de impressão digital do navegador.

Para versões anteriores à 5.6, atualize para o Zulip Server 5.6 para resolver o problema.

Como solução alternativa temporária, considere desativar as visualizações de imagens e links para minimizar o risco de exploração.