CVE-2026-55875

Nome do Software Vulnerável e Versões Afetadas Helium versões anteriores a 2.2.60

Descrição Usuários autenticados podem enviar uma URL arbitrária para o endpoint 'POST /feed/externalcalendars/'. O sistema utiliza a função validate url para verificar apenas a sintaxe antes de passar o valor para urllib.request.urlopen, e a função fetch ical conditional busca periodicamente a URL armazenada. Isso permite que o servidor emita requisições para hosts externos ou internos selecionados por um invasor. Respostas distintas, como uma condição http.client.RemoteDisconnected não capturada para serviços que não sejam HTTP, podem revelar a acessibilidade de hosts e portas internas, permitindo requisições externas forçadas e reconhecimento de serviços internos.

Recomendações Atualizar para a versão 2.2.60.