CVE-2026-47358

Nome do Software Vulnerável e Versões Afetadas Terrascan versões anteriores a 1.18.4

Descrição O Terrascan está suscetível a Server-Side Request Forgery (SSRF) ao operar no modo servidor. O problema ocorre durante a análise de modelos de Infraestrutura como Código (IaC) carregados, especificamente modelos ARM ou CloudFormation, onde URLs externas são resolvidas usando a biblioteca hashicorp/go-getter com o FileDetector habilitado. Um invasor remoto não autenticado pode carregar modelos contendo um campo templateLink.uri ou parametersLink.uri em modelos ARM, ou um campo AWS::CloudFormation::Stack TemplateURL em modelos CloudFormation, apontando para uma URL maliciosa. Isso permite que o servidor busque a URL controlada pelo invasor e possibilita a leitura de arquivos locais via URLs file:// sem a necessidade de redirecionamentos. Isso afeta implantações onde o servidor vincula-se ao 0.0.0.0 sem autenticação.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.