CVE-2026-73264

Nome do Software Vulnerável e Versões Afetadas Prowler versões anteriores a 5.33.1

Descrição Um usuário autenticado com acesso de configuração do provedor Lighthouse pode fornecer um base url não validado para o provedor openai compatible. Isso ocorre por meio dos endpoints 'POST /api/v1/lighthouse/providers' e 'POST /api/v1/lighthouse/providers/{id}/connection'. Consequentemente, o arquivo api/src/backend/tasks/jobs/lighthouse providers.py pode enviar solicitações externas, incluindo a chave de API no cabeçalho de Autorização, para endpoints internos ou controlados por atacantes quando a função client.models.list é chamada. Trata-se de um Server-Side Request Forgery (SSRF), que é uma falha que permite a um atacante induzir a aplicação do lado do servidor a fazer solicitações para um local não pretendido.

Recomendações Atualizar para a versão 5.33.1.