CVE-2026-85738

Nome do Software Vulnerável e Versões Afetadas TREK versões anteriores a 3.4.0

Descrição A lógica checkSsrf em server/src/utils/ssrfGuard.ts não reconhece endereços de transição IPv6 NAT64, 6to4 ou Teredo que codificam um destino IPv4. Um usuário autenticado que controle um registro DNS pode fornecer uma URL cujo resultado AAAA seja um endereço de transição incorporando um alvo IPv4 privado, de loopback ou link-local. Como isAlwaysBlocked e isPrivateNetwork classificam esses endereços como permitidos, importações voltadas para o usuário, webhooks, integrações ou saídas de plugins podem alcançar serviços internos ou metadados de nuvem, expondo informações retornadas. Server-Side Request Forgery (SSRF) é uma falha onde um invasor induz uma aplicação no lado do servidor a fazer requisições para um local não pretendido.

Recomendações Atualizar para a versão 3.4.0.