PT-2026-66794 · Pypi · Dssrf

CVE-2026-54729 · Publicado 2026-07-31 · Atualizado 2026-07-31

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas DSSRF versões anteriores a 1.0.5

Description A função is url safe() pode identificar incorretamente o localhost como seguro quando o resolvedor DNS 1.1.1.1 retorna NXDOMAIN. Isso ocorre porque o dns.resolve4 não retorna nenhum endereço e nenhum fallback de dns.lookup é acionado, permitindo a falsificação de requisição do lado do servidor (SSRF), uma técnica onde um invasor induz um servidor a fazer requisições para um local não pretendido.

Recommendations Atualize o DSSRF para a versão 1.0.5. Como medida paliativa temporária, considere restringir o uso da função is url safe() até que a atualização seja aplicada.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-54729

GHSA-5846-7QM3-R52J

Produtos afetados

Dssrf

Referências · 6

• 🔥 https://github.com/HackingRepo/dssrf-js/security/advisories/GHSA-5846-7qm3-r52j · Exploit
• https://github.com/HackingRepo/dssrf-js/commit/668c21792cd1252baf779a176aa652e2b4c0067d · Nota
• https://github.com/HackingRepo/dssrf-js/pull/102 · Nota
• https://github.com/HackingRepo/dssrf-js · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-54729 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5846-7qm3-r52j · Aviso do Fabricante