CVE-2026-49345

Nome do Software Vulnerável e Versões Afetadas Mercator versões anteriores a 2025.05.19

Descrição Um Server-Side Request Forgery (SSRF) existe no painel de configuração de CVE no endpoint '/admin/config/parameters'. O método testProvider() no ConfigurationController passa a entrada fornecida pelo usuário para curl init() sem validar o esquema, o nome do host ou o endereço IP de destino. Um usuário autenticado com a permissão configure pode forçar o servidor a emitir requisições de rede externas arbitrárias. O sufixo '/api/dbInfo' anexado à URL pode ser ignorado injetando um caractere de fragmento #, permitindo controle total sobre a URL de destino. Não há lista branca de esquemas, de hosts ou bloqueio de IP privado/loopback. O esquema telnet:// permite a varredura de portas internas, e o esquema gopher:// possibilita a interação com serviços internos não autenticados, como Redis ou Memcached, o que pode levar à Execução Remota de Código (a capacidade de executar comandos arbitrários na máquina hospedeira) sob condições específicas de implantação.

Recomendações Atualizar para a versão 2025.05.19.