https://alertas.dupin.com.ar/fabricante/pipeshub-ai/Alertas de vulnerabilidades de pipeshub-ai.esSat, 31 Oct 2026 13:53:19 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119712/tg:62474Sat, 31 Oct 2026 13:53:19 +0000Exploit públicoPipesHub antes de 0.10.0 contiene una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en ImageParser._fetch_single_url que permite a atacantes hacer que el servicio de indexación acceda a direcciones internas incrustando URLs de imágenes en documentos. Se puede enviar Markdown o HTML mediante cargas, buzones sincronizados o conectores web para alcanzar loopback, la red privada o endpoints de metadatos de la nube, con las respuestas de imagen incrustadas en el contenido indexado.https://alertas.dupin.com.ar/cve/CVE-2026-119710/tg:62306Fri, 30 Oct 2026 17:39:08 +0000VulnerabilidadPipesHub 0.3.0 antes de 0.10.0 contiene una vulnerabilidad de inyección de tipo de evento que permite a usuarios autenticados con solo el alcance crawl:write eliminar conectores inyectando en el segmento :connector de la ruta. Un valor como web.delete enviado a la ruta de programación omite las comprobaciones de connector:delete y de bloqueo, eliminando instancias de conectores y purgando los embeddings de registros.https://alertas.dupin.com.ar/cve/CVE-2026-119712/tg:62303Fri, 30 Oct 2026 17:39:06 +0000VulnerabilidadPipesHub antes de 0.10.0 contiene una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en ImageParser._fetch_single_url que permite a atacantes hacer que el servicio de indexación acceda a direcciones internas incrustando URLs de imágenes en documentos. Se puede enviar Markdown o HTML mediante cargas, buzones sincronizados o conectores web para alcanzar loopback, la red privada o endpoints de metadatos de la nube, con las respuestas de imagen incrustadas en el contenido indexado.https://alertas.dupin.com.ar/cve/CVE-2026-119711/tg:62302Fri, 30 Oct 2026 17:39:05 +0000VulnerabilidadPipesHub antes de 0.10.0 contiene una vulnerabilidad de omisión de límite de tasa en getClientIp() que permite a atacantes no autenticados evadir la limitación por IP falsificando los encabezados X-Forwarded-For o X-Real-IP. Rotando los valores del encabezado se obtienen nuevos cupos de límite en los endpoints de autenticación, lo que habilita password spraying y el envío masivo de correos de OTP o de restablecimiento de contraseña.