VULNERABILIDAD

CVE-2026-111720 SSRF en /api/web/parse de fish-island-backend

fish-island-backend hasta el commit 7c61b78 contiene una falsificación de petición del lado del servidor no autenticada que permite a atacantes remotos hacer que el servidor obtenga URL provistas por ellos mediante el parámetro url de GET /api/web/parse. Las peticiones OkHttp con seguimiento de redirecciones permiten alcanzar hosts internos, servicios de loopback o endpoints de metadatos de nube y leer títulos, meta descripciones y favicons.

Alerta de Nureq Monitor

Detectada 16 OCT · 15:14

CVSS 3.1

5.3MEDIA

CVSS 4.0

6.9 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 23

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-111720

Productos y versiones afectadas

lhccong fish-island-backend
- hasta 7c61b7861e99d3970beb34103c244b79e4de7d88

Qué hacer

Verificá si usás fish-island-backend y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Baja
INTEGRIDAD (I): Ninguna
DISPONIBILIDAD (A): Ninguna

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Ninguna
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

fish-island-backend through commit 7c61b78 contains an unauthenticated server-side request forgery vulnerability that allows remote attackers to make the server fetch attacker-supplied URLs via the url parameter of GET /api/web/parse. Attackers can target internal hosts, loopback services or cloud metadata endpoints through redirect-following OkHttp requests and read back page titles, meta descriptions and favicons.

Referencias

hackmd.io/@hieuPenguinnn/fish-island-web-parse-unauth-ssrfTHIRD-PARTY-ADVISORY
github.com/lhccong/fish-island-backend/blob/7c61b7861e99d3970beb34103c244b79e4de7d88/src/…TECHNICAL-DESCRIPTION
github.com/lhccong/fish-island-backend/blob/7c61b7861e99d3970beb34103c244b79e4de7d88/src/…TECHNICAL-DESCRIPTION
github.com/lhccong/fish-island-backend/blob/7c61b7861e99d3970beb34103c244b79e4de7d88/src/…TECHNICAL-DESCRIPTION
www.vulncheck.com/advisories/fish-island-backend-through-commit-7c61b78-ssrf-via-api-web-…THIRD-PARTY-ADVISORY

Historial de la alerta

16 OCT · 15:14VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.