PT-2026-133739

CVE-2026-61840

Publicado

2026-10-30

Atualizado

2026-10-30

Descrição por

CVSS 4.0

2.3

Baixa

MétricasAV:N/AC:H/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Quest Bot versões anteriores a 1.1.9

Descrição O comando image to GIF utiliza um auxiliar de requisição que valida os endereços IP públicos de um nome de host, mas posteriormente envia a requisição pelo nome do host, resultando em uma segunda consulta DNS. Isso permite que um invasor que controle um domínio ignore a proteção de endereços internos via DNS rebinding (uma técnica onde um nome de domínio resolve para endereços IP diferentes durante consultas DNS sucessivas), retornando um endereço público durante a validação e um endereço interno durante a conexão. O comando aceita endereços diretamente da entrada do usuário e está acessível a qualquer membro do servidor. As requisições são limitadas a HTTPS na porta 443 e apenas retornam conteúdo se a resposta for uma imagem genuína, limitando o impacto ao sondagem interna cega e recuperação limitada de respostas de imagem de endpoints de loopback ou internos.

Recomendações Atualizar para a versão 1.1.9.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados

CVE-2026-61840