CVE-2026-53509

Nome do Software Vulnerável e Versões Afetadas CKAN MCP Server versões anteriores a 0.4.106

Description O software contém uma falha de Server-Side Request Forgery (SSRF) na qual valida URLs fornecidas pelo usuário inspecionando apenas a string do hostname analisado antes de emitir requisições HTTP externas. Em src/utils/http.ts, aliases de hostname como ip6-localhost ignoram o filtro pois não são iguais a localhost, não são literais IPv4 pontuados e não são literais IPv6 entre colchetes, mas resolvem para endereços de loopback durante a requisição. Um chamador remoto que invoque ferramentas como ckan package search e sparql query através dos parâmetros server url ou base url pode forçar o servidor a se conectar a endereços locais ou privados e receber dados derivados da resposta.

Recommendations Atualizar para a versão 0.4.106.