CVE-2026-107460

Nome do Software Vulnerável e Versões Afetadas Apache Fesod (Incubating) fesod-sheet versão 2.0.2-incubating

Description O componente UrlImageConverter está suscetível a Server-Side Request Forgery (SSRF) através de um bypass de DNS rebinding. Isso ocorre quando uma aplicação aceita uma URL de imagem controlada por um atacante para a escrita de planilhas; o conversor valida os endereços IP resolvidos do hostname, mas subsequentemente abre uma conexão separada que pode resolver o hostname novamente. Um atacante que controle as respostas de DNS pode redirecionar a conexão para um endereço restrito após a validação inicial.

Recommendations Atualize para a versão 2.1.0-incubating. Se a busca de imagens por URL remota estiver habilitada, permita apenas hostnames cujos serviços de DNS e HTTP sejam confiáveis.