PT-2026-47056 · Altium · Altium Enterprise Server+1
CVE-2026-11424
·
Publicado
2026-06-05
·
Atualizado
2026-06-06
CVSS v4.0
8.3
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Altium Enterprise Server versões anteriores a 8.1.1
Altium 365 (versões afetadas não especificadas)
Description
Uma falsificação de solicitação do lado do servidor (SSRF) existe em um componente de serviço GraphQL compartilhado pelo Altium Enterprise Server e Altium 365. Um usuário autenticado pode enviar uma solicitação na qual a entrada é tratada como uma URL e usada para emitir uma solicitação HTTP GET externa sem validação de URL ou filtragem de destino. O servidor então retorna o corpo da resposta ao usuário. Isso permite que um invasor acesse serviços internos e endpoints de metadados que não estão acessíveis a partir da rede pública, resultando em divulgação de informações e reconhecimento da infraestrutura interna. A primitiva de solicitação é limitada a HTTP GET e não suporta cabeçalhos personalizados.
Recommendations
Atualize o Altium Enterprise Server para a versão 8.1.1.
Para o Altium 365, o problema foi remediado no nível do serviço.
Correção
SSRF
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Altium 365
Altium Enterprise Server