CVE-2026-92569

Nome do Software Vulnerável e Versões Afetadas Hippo4j versões anteriores a 1.5.1

Descrição Atacantes autenticados podem disparar requisições GET externas para redes internas e serviços de metadados de nuvem. Isso ocorre porque quatro endpoints do ThreadPoolController não validam o parâmetro clientAddress, permitindo o fornecimento de nomes de host e portas arbitrários. Este problema é um server-side request forgery, que é uma falha que permite a um atacante induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recomendações Atualize para uma versão posterior a 1.5.0. Evite usar o parâmetro clientAddress nos endpoints do ThreadPoolController até que a atualização seja aplicada.