CVE-2026-115720

Nome do Software Vulnerável e Versões Afetadas Frappe Builder versões anteriores a 1.36.1

Description Existe um problema em builder/api.py onde a função assert not private url() valida apenas o hostname inicial. Como requests.get(url) é chamado com o redirecionamento padrão e sem fixação de IP, uma URL pública fornecida por um invasor pode redirecionar para endereços internos ou link-local. Um invasor autenticado pode explorar o endpoint convert to webp, que carece de um decorador de permissão, para realizar Server-Side Request Forgery (SSRF) contra alvos internos, como serviços de metadados de nuvem, realizar varredura de portas internas ou causar uma negação de serviço por suspensão de requisição devido à ausência de um timeout.

Recommendations Atualize para a versão 1.36.1. Como mitigação temporária, restrinja o acesso ao endpoint convert to webp.