PT-2026-53972 · Coturn · Coturn

Publicado 2026-06-30 · Atualizado 2026-07-10 · CVE-2026-53450

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas coturn versões anteriores a 4.13.0

Description Um cliente TURN autenticado pode ignorar a proteção de loopback padrão ao utilizar o endereço de peer IPv6 mapeado para IPv4 ::ffff:127.0.0.1 em um atributo TURN XOR-PEER-ADDRESS. Isso ocorre porque a função ioa addr is loopback verifica a forma literal de loopback IPv6 antes do processamento de IPv6 mapeado para IPv4, fazendo com que a função good peer addr não aplique a rejeição de loopback padrão. Consequentemente, é possível expor serviços vinculados apenas ao localhost no host do coturn através do tráfego de relay TURN.

Recommendations Atualize para a versão 4.13.0 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-53450

Produtos afetados

Coturn

Referências · 4

• 🔥 https://github.com/coturn/coturn/security/advisories/GHSA-w4hf-cr3w-6h79 · Exploit
• https://github.com/coturn/coturn/commit/b057acbebe721c8f2f202ddad5e16289e295c754 · Nota
• https://twitter.com/enablesecurity/status/2071961109964161082 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-53450 · Nota de Segurança