PT-2026-108108

CVE-2026-107362

Publicado

2026-10-08

Atualizado

2026-10-14

Descrição por

CVSS 3.1

7.1

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas Malcolm (versões afetadas não especificadas)

Descrição O componente de upload de arquivos incorpora o servidor FilePond PHP, que inclui um arquivo index.php que expõe uma rota de API de busca. Esta rota permite que o servidor baixe uma URL arbitrária usando curl com a opção FOLLOWLOCATION ativada. Quando uma requisição HEAD é feita, o servidor armazena o corpo da resposta capturada no diretório de transferência do contêiner de upload e retorna um ID de transferência, permitindo que o solicitante leia o conteúdo capturado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Pavan Nallamothu

Seth Grover

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados