CVE-2026-53607

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.31.0

Descrição Quando a configuração prettyUrls: true está habilitada no módulo @apostrophecms/file, o manipulador de pretty-URL público constrói uma URL upstream usando o cabeçalho de requisição HTTP Host bruto. Essa URL é então processada via operação fetch, e o corpo e os cabeçalhos da resposta resultante são transmitidos de volta ao requerente. Como o cabeçalho Host é controlado pelo usuário, um invasor remoto não autenticado pode forçar o processo a emitir requisições HTTP externas para qualquer host alcançável na rede privada. Isso resulta em um Server-Side Request Forgery (SSRF) cego, que é uma falha onde um servidor é enganado para fazer requisições a um local não pretendido. Embora o caminho seja limitado a /uploads/attachments/<cuid>-<slug>.<ext>, invasores ainda podem realizar o mapeamento da topologia da rede analisando códigos de resposta, diferenças de tempo ou divulgações detalhadas de corpo 404 de proxy e WAF.

Recomendações Como medida paliativa temporária, desabilite a configuração prettyUrls: true no módulo @apostrophecms/file para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.