Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-115411 Falsificación de petición del lado del servidor en el crawler de crawlseo

crawlseo anterior a 0.2.4 tiene una vulnerabilidad de SSRF en su motor de crawling: isPrivateIp() no bloquea rangos reservados como RFC 6598, RFC 6890, TEST-NET y ciertas direcciones IPv6, y no fija la dirección validada para la conexión saliente, lo que permite un bypass por DNS rebinding (TOCTOU). Un atacante autenticado puede agregar un dominio malicioso y, mediante la API de resultados, obtener título, descripción, encabezados, código de estado y enlaces de servicios internos o metadatos como 169.254.169.254.

Alerta de Nureq Monitor

Detectada 22 OCT · 12:31

CVSS 3.1

5.0MEDIA

CVSS 4.0

5.3 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 11

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-115411

crawlseo anterior a 0.2.4 tiene una vulnerabilidad de SSRF en su motor de crawling: isPrivateIp() no bloquea rangos reservados como RFC 6598, RFC 6890, TEST-NET y ciertas direcciones IPv6, y no fija la dirección validada para la conexión saliente, lo que permite un bypass por DNS rebinding (TOCTOU). Un atacante autenticado puede agregar un dominio malicioso y, mediante la API de resultados, obtener título, descripción, encabezados, código de estado y enlaces de servicios internos o metadatos como 169.254.169.254.

Productos y versiones afectadas

  • crawlseo

    • desde 0.1.0 hasta antes de 0.2.4

Qué hacer

  1. Verificá si usás crawlseo y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.0 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Cambiado
CONFIDENCIALIDAD (C)
Baja
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Ninguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Ninguna
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Ninguna
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Baja
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

crawlseo before version 0.2.4 contains a server-side request forgery vulnerability in its crawler engine where isPrivateIp() fails to block reserved IP ranges such as RFC 6598 Carrier-Grade NAT, RFC 6890, TEST-NET ranges and certain IPv6 addresses, and additionally fails to pin the validated address for the actual outbound connection, allowing a TOCTOU DNS rebinding bypass. An authenticated attacker can add a malicious domain that resolves to an internal or restricted address, trigger a crawl to reach internal services or cloud metadata endpoints like 169.254.169.254, and retrieve the fetched page's title, description, headings, status code and links through the crawl results API, enabling internal network reconnaissance.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.