CVE-2026-54546

Nome do Software Vulnerável e Versões Afetadas CloudTAK versões anteriores a 13.22.1

Description O CloudTAK contém uma falha de server-side request forgery (SSRF) no endpoint autenticado PUT /api/basemap. A função importBasemapURL() em api/routes/basemap.ts utiliza fetch(url) para recuperar conteúdo de uma URL fornecida pelo usuário sem validar o endereço IP resolvido ou revalidar redirecionamentos. Embora o BasemapProtocol.isValidURL em api/lib/interface-basemap.ts verifique os esquemas HTTP ou HTTPS, ele não é utilizado no caminho de importação vulnerável.

Um usuário autenticado pode fornecer endereços internos diretos, codificações de IP alternativas ou URLs que redirecionam para endereços internos para acessar metadados de nuvem, loopback, serviços HTTP privados e CGNAT. Como o servidor reflete campos da resposta OptionalTileJSON — como name, attribution e tiles[0] — de volta ao solicitante, trata-se de um SSRF de leitura completa. Isso permite que um invasor roube credenciais de instâncias de nuvem, enumere serviços internos e leia endpoints HTTP internos a partir da posição de rede do servidor de API.

Recommendations Atualize o CloudTAK para a versão 13.22.1. Como mitigação temporária, restrinja o acesso ao endpoint PUT /api/basemap apenas a usuários confiáveis.