PT-2026-111583

CVE-2026-107460

Publicado

2026-10-13

Atualizado

2026-10-20

Descrição por

CVSS 3.1

9.1

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Fesod (Incubating) fesod-sheet versão 2.0.2-incubating

Description O componente UrlImageConverter está suscetível a Server-Side Request Forgery (SSRF) através de um bypass de DNS rebinding. Isso ocorre quando uma aplicação aceita uma URL de imagem controlada por um atacante para a escrita de planilhas; o conversor valida os endereços IP resolvidos do hostname, mas subsequentemente abre uma conexão separada que pode resolver o hostname novamente. Um atacante que controle as respostas de DNS pode redirecionar a conexão para um endereço restrito após a validação inicial.

Recommendations Atualize para a versão 2.1.0-incubating. Se a busca de imagens por URL remota estiver habilitada, permita apenas hostnames cujos serviços de DNS e HTTP sejam confiáveis.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados