PT-2026-41165 · Hmbown+1 · Codewhale+2

47Cid · Publicado 2026-05-14 · Atualizado 2026-05-30 · CVE-2026-45310

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas CodeWhale versões anteriores a 0.8.22

Description A ferramenta fetch url implementa uma verificação usando a função is restricted ip() para validar o endereço IP resolvido de uma URL inicial contra uma lista de bloqueio de IPs restritos, como localhost, redes privadas e endpoints de metadados de nuvem, para prevenir Server-Side Request Forgery (SSRF). No entanto, o cliente HTTP reqwest está configurado para seguir até 5 redirecionamentos via reqwest::redirect::Policy::limited(5) sem revalidar os alvos do redirecionamento. Isso permite que um invasor ignore as proteções de SSRF fornecendo uma URL pública que redireciona para um endereço interno restrito. Em instâncias hospedadas na nuvem, isso pode levar à exfiltração de metadados da instância e credenciais de IAM da nuvem por meio de injeção de prompt.

Recommendations Atualize para a versão 0.8.22.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-45310

GHSA-96FF-GC8G-WPVG

Produtos afetados

Codewhale

Deepseek-Tui

Deepseek-Tui-Cli

Referências · 9

• 🔥 https://github.com/Hmbown/CodeWhale/security/advisories/GHSA-96ff-gc8g-wpvg · Exploit
• https://github.com/Hmbown/DeepSeek-TUI/releases/tag/v0.8.22 · Nota
• https://github.com/Hmbown/DeepSeek-TUI/security/advisories/GHSA-96ff-gc8g-wpvg · Nota
• https://github.com/Hmbown/DeepSeek-TUI · Nota
• https://osv.dev/vulnerability/GHSA-96ff-gc8g-wpvg · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2060110253983699357 · Publicação no Twitter
• https://t.me/cveNotify/165289 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-45310 · Nota de Segurança
• https://twitter.com/CVEnew/status/2060091969703948558 · Publicação no Twitter