PT-2026-145456

CVE-2026-126799

Publicado

2026-11-11

Atualizado

2026-11-11

Descrição por

CVSS 3.1

7.5

Alta

MétricasAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Gotenberg versões 8.31.0 through 8.37.0

Description Existe um problema na função IsPublicIP() que permite que atacantes não autenticados ignorem as proteções de lista de negação de IP privado usando identificadores de zona IPv6. Ao anexar uma zona, como %25eth0, ao endereço não especificado ou prefixos IPv6 bloqueados em downloadFrom, webhook ou URLs do Chromium/LibreOffice, um atacante pode realizar um server-side request forgery (SSRF). Isso permite o acesso a serviços internos e possibilita que o atacante leia as respostas no PDF retornado.

Recommendations Atualize o Gotenberg para a versão 8.38.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Euriconicacio

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados