CVE-2026-62308

Nome do Software Vulnerável e Versões Afetadas Tugtainer versões anteriores a 1.30.6

Description Um usuário autenticado pode fazer com que o servidor de backend envie requisições HTTP externas para URLs arbitrárias fornecidas pelo usuário. Isso ocorre através do endpoint '/settings/test notification', que aceita um campo urls e o passa para o Apprise sem restringir protocolos, nomes de host, endereços localhost, intervalos de IP privados ou endereços de metadados de nuvem. Essa falha permite um server-side request forgery (SSRF) cego autenticado, uma condição em que um invasor induz o servidor a fazer requisições para um local não pretendido.

Recommendations Atualizar para a versão 1.30.6.