CVE-2026-37197 - Server-Side Request Forgery (SSRF) in NukeViet CMS v4.5.07

Überblick

Im VINADES JSC NukeViet CMS v4.5.07 besteht eine Server-Side Request Forgery (SSRF)-Schwachstelle in der Remote-Upload-Funktion des Administrators. Das Problem ermöglicht es einem authentifizierten Administrator, serverseitige HTTP-Anfragen an beliebige URLs auszulösen, indem beim Datei-Upload eine manipulierte Remote-Datei-URL angegeben wird.

Diese Schwachstelle kann es Angreifern ermöglichen, mit internen Netzwerkdiensten zu interagieren, interne Ressourcen zu scannen oder auf eingeschränkte Endpunkte zuzugreifen, die von außen nicht direkt erreichbar sind.

Details zur Schwachstelle

• CVE-ID: CVE-2026-37197
• Schwachstellentyp: Server-Side Request Forgery (SSRF)
• Hersteller: VINADES JSC
• Produkt: NukeViet CMS
• Betroffene Version: v4.5.07
• Angriffsart: Remote
• Erforderliche Authentifizierung: Ja (Administratorzugriff erforderlich)
• Auswirkung: Informationsoffenlegung / Interne Netzwerk-Enumeration

Betroffene Komponenten

Die Schwachstelle besteht in den folgenden Komponenten:

admin/upload/upload.php
vendor/vinades/nukeviet/Files/Upload.php

Betroffene Funktionen sind:

save_urlfile()
check_url()

Diese Funktionen verarbeiten eine vom Benutzer bereitgestellte Remote-Datei-URL (fileurl) ohne ausreichende Validierung oder Einschränkungen für ausgehende Anfragen.

Technische Beschreibung

Die Remote-Upload-Funktion ermöglicht Administratoren, Dateien mithilfe einer URL-Quelle hochzuladen. Wenn über den Parameter fileurl eine manipulierte URL angegeben wird, führt die Anwendung eine serverseitige Anfrage an das angegebene Ziel aus.

Da keine ausreichende Validierung implementiert ist, kann ein Angreifer mit Administratorzugriff dieses Verhalten missbrauchen, um den Anwendungsserver zu zwingen, HTTP-Anfragen an beliebige interne oder externe Ressourcen zu initiieren.

Darüber hinaus werden Weiterleitungen verfolgt, was das Risiko des Zugriffs auf interne Ressourcen und der Netzwerk-Rekonnaissance erhöht.

Angriffsvektor

Ein authentifizierter Administrator übermittelt eine manipulierte URL an den Remote-Upload-Endpunkt.

Beispiel für ein Angriffsszenario:

1. Der Administrator greift auf die Remote-Upload-Funktion zu.
2. Eine bösartige URL, die auf interne Dienste verweist, wird angegeben.
3. Der Server führt eine ausgehende Anfrage aus.
4. Interne Dienste können untersucht oder aufgezählt werden.

Beispielziele:

http://127.0.0.1
http://localhost
http://169.254.169.254
http://192.168.1.1
http://internal-service:8080

Dies kann Folgendes ermöglichen:

• Scannen interner Netzwerke
• Zugriff auf nur intern verfügbare Dienste
• Offenlegung von Cloud-Metadaten (abhängig von der Umgebung)
• Informationsoffenlegung

Proof of Concept (PoC)

Beispiel für eine manipulierte Anfrage:

POST /admin/index.php?language=en&nv=upload&op=upload HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: admin_session=SESSION

fileurl=http://127.0.0.1:8080

Der Server versucht, die angegebene URL abzurufen, was zu einer serverseitigen Anfrage an eine interne Ressource führt.

Sicherheitsauswirkungen

Eine erfolgreiche Ausnutzung kann es einem Angreifer ermöglichen:

• Interne Netzwerkdienste aufzuzählen
• Localhost oder interne IP-Bereiche zu scannen
• Auf sensible interne Endpunkte zuzugreifen
• Informationen von internen Diensten abzurufen
• Je nach Bereitstellungskonfiguration möglicherweise auf Cloud-Metadaten-Dienste zuzugreifen

Grundursache

Das Problem wird verursacht durch:

• Fehlende ordnungsgemäße URL-Validierung
• Fehlende Einschränkungen für ausgehende Anfragen
• Keine Durchsetzung von Allowlist/Blocklist für interne IP-Bereiche
• Automatisches Verfolgen von Weiterleitungen

Empfohlene Gegenmaßnahmen

VINADES JSC sollte die folgenden Gegenmaßnahmen umsetzen:

1. Anfragen an interne/private IP-Bereiche blockieren:

127.0.0.0/8
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.169.254
localhost

2. Zulässige Protokolle einschränken auf:

http
https

3. Weiterleitungen deaktivieren oder einschränken.

4. Hostnamen- und DNS-Validierung implementieren, um SSRF-Bypass-Techniken zu verhindern.

5. Wo möglich einen Allowlist-Ansatz für vertrauenswürdige Remote-Domains verwenden.

Zeitleiste

• Schwachstelle entdeckt von: Pavan V
• Reaktion des Herstellers: In kommender Version behoben (falls zutreffend)
• CVE zugewiesen: CVE-2026-37197

Referenzen

• Projekt-Repository: https://github.com/nukeviet/nukeviet

Entdecker

Pavan V