PT-2026-34563 · Squidex · Squidex

Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-41170

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions Squidex versões anteriores a 7.23.0

Description O endpoint RestoreController.PostRestoreJob permite que um administrador forneça uma URL arbitrária para baixar arquivos de backup. Esta URL é processada pelo HttpClient sem proteção contra Server-Side Request Forgery (SSRF), que é uma falha onde um servidor é enganado para fazer requisições a um local não pretendido. Um administrador autenticado pode explorar isso para sondar serviços de rede interna, acessar endpoints de metadados de nuvem ou realizar reconhecimento interno.

Recommendations Atualizar para a versão 7.23.0.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41170

Produtos afetados

Squidex

Referências · 4

• 🔥 https://github.com/Squidex/squidex/security/advisories/GHSA-6q6m-7h5j-jq4g · Exploit
• https://github.com/Squidex/squidex/commit/b81d75e1d9c1a8e30993c2ee59b350002b9aeda4 · Nota
• https://twitter.com/CVEnew/status/2047359935957148094 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41170 · Nota de Segurança