VULNERABILIDAD
CVE-2026-108594 Falsificación de petición del lado del servidor (SSRF) en Mealie al obtener el avatar de OIDC
Mealie 3.26.0 hasta 3.28.0 tiene una SSRF en la obtención del avatar de OpenID Connect que ignora los puertos al validar el hostname del proveedor de identidad. Usuarios OIDC autenticados que controlan su URL de picture pueden hacer que el servidor envíe peticiones GET a puertos arbitrarios de la dirección interna del proveedor en cada inicio de sesión.
Alerta de Nureq Monitor
Detectada 10 OCT · 16:57
CVSS 3.1
3.5BAJACVSS 4.0
2.3 BAJA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 8
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-108594
Mealie 3.26.0 hasta 3.28.0 tiene una SSRF en la obtención del avatar de OpenID Connect que ignora los puertos al validar el hostname del proveedor de identidad. Usuarios OIDC autenticados que controlan su URL de picture pueden hacer que el servidor envíe peticiones GET a puertos arbitrarios de la dirección interna del proveedor en cada inicio de sesión.
Productos y versiones afectadas
mealie-recipes mealie
Qué hacer
- Verificá si usás mealie y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 3.5 BAJA
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Cambiado
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
CVSS 4.0 · 2.3 BAJA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Presentes
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Baja
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Ninguna
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Baja
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Mealie 3.26.0 through 3.28.0 contains a server-side request forgery vulnerability in the OpenID Connect avatar fetch that ignores ports when allowlisting the identity provider hostname. Authenticated OIDC users who control their picture URL can make the server send GET requests to arbitrary ports on the provider's internal address on each login.
Referencias
- hackmd.io/@haind/mealie-oidc-avatar-ssrfTHIRD-PARTY-ADVISORY
- github.com/mealie-recipes/mealie/blob/v3.28.0/mealie/core/security/providers/openid_provi…TECHNICAL-DESCRIPTION
- github.com/mealie-recipes/mealie/blob/v3.28.0/mealie/pkgs/safehttp/transport.py#L60-L160TECHNICAL-DESCRIPTION
- github.com/mealie-recipes/mealiePRODUCT
- www.vulncheck.com/advisories/mealie-3.26.0-through-3.28.0-ssrf-via-oidc-picture-claim-ava…THIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.