PT-2026-21936 · Esm.Sh · Esm.Sh

Poppo25

·

Publicado

2026-02-25

·

Atualizado

2026-03-25

·

CVE-2026-27730

CVSS v3.1

8.6

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas Versões do esm.sh até e incluindo a 137
Descrição O esm.sh é uma Content Delivery Network (CDN) para desenvolvimento web. Existe uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF, CWE-918) na rota de fetch /http(s). O serviço tenta impedir solicitações para localhost ou alvos internos, mas a validação depende de verificações de strings de hostname, que podem ser contornadas usando domínios de alias DNS. Isso permite que uma parte externa faça com que o servidor esm.sh acesse serviços internos do localhost.
Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SSRF

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-27730
GHSA-P2V6-84H2-5X4R
GO-2026-4554
SUSE-SU-2026:1042-1

Produtos afetados

Esm.Sh