CVE-2026-94621 Falsificación de petición del lado del servidor por DNS rebinding en la extracción de favicons de AliasVault

Qué es CVE-2026-94621

En AliasVault anterior a 0.30.3, el extractor de favicons de la API valida el hostname con una primera consulta DNS pero permite una segunda al conectar, lo que permite a un usuario autenticado de bajo privilegio con un servidor DNS autoritativo propio hacer que una instancia pública emita peticiones HTTP o HTTPS a hosts internos. La respuesta de imagen válida se devuelve en Base64 y otras respuestas pueden exponer información de tiempos y errores para reconocimiento de la red interna.

Productos y versiones afectadas

• aliasvault

  • < 0.30.3

• aliasvault ghcr.io/aliasvault/aliasvault

  • < 0.30.3

• aliasvault ghcr.io/aliasvault/api

  • < 0.30.3

• aliasvault ghcr.io/lanedirt/aliasvault-api

  • < 0.30.3

Qué hacer

1. Verificá si usás aliasvault y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.3 MEDIA

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

AliasVault is a privacy-first password manager with built-in email aliasing. Prior to 0.30.3, the AliasVault server API favicon extractor validates a user-supplied hostname with a first DNS lookup but allows the HTTP client to perform a second DNS lookup when connecting. An authenticated low-privileged user operating an attacker-controlled authoritative DNS server can return a public address during validation and a private address during connection, causing a publicly reachable self-hosted server to issue HTTP or HTTPS requests to internal hosts. A valid image response is returned in Base64 form, while other responses can expose limited timing and error information for internal-network reconnaissance. Exploitation requires a publicly reachable self-hosted instance with public registration enabled, an authenticated AliasVault account, an attacker-controlled authoritative DNS server, and a resolver that permits rebinding; default checks limit requests to ports 80 and 443. The browser extensions, web application, and mobile applications are not affected. This issue is fixed in version 0.30.3.

Referencias

• github.com/aliasvault/aliasvault/security/advisories/GHSA-7hm6-fj4m-pf6fX_REFSOURCE_CONFIRM
• github.com/aliasvault/aliasvault/pull/2311X_REFSOURCE_MISC
• github.com/aliasvault/aliasvault/commit/7eb4fee71f4582cfc80b8daea421b99d6aa9f814X_REFSOURCE_MISC
• github.com/aliasvault/aliasvault/commit/90ea7d6bb4c74ca169ee1dde3ca38b08bd0966edX_REFSOURCE_MISC
• github.com/aliasvault/aliasvault/releases/tag/0.30.3X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 17:28VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.