CVE-2026-37197 - Falsificación de Solicitud del Lado del Servidor (SSRF) en NukeViet CMS v4.5.07

Resumen

Existe una vulnerabilidad de Falsificación de Solicitud del Lado del Servidor (SSRF) en VINADES JSC NukeViet CMS v4.5.07 dentro de la función de carga remota del administrador. El problema permite que un administrador autenticado active solicitudes HTTP del lado del servidor hacia URLs arbitrarias al proporcionar una URL de archivo remoto manipulada durante la carga del archivo.

Esta vulnerabilidad puede permitir a los atacantes interactuar con servicios de red internos, escanear recursos internos o acceder a endpoints restringidos que no son accesibles directamente desde el exterior.

Detalles de la Vulnerabilidad

• CVE ID: CVE-2026-37197
• Tipo de Vulnerabilidad: Falsificación de Solicitud del Lado del Servidor (SSRF)
• Vendedor: VINADES JSC
• Producto: NukeViet CMS
• Versión Afectada: v4.5.07
• Tipo de Ataque: Remoto
• Autenticación Requerida: Sí (Se requiere acceso de administrador)
• Impacto: Divulgación de Información / Enumeración de Red Interna

Componentes Afectados

La vulnerabilidad existe en los siguientes componentes:

admin/upload/upload.php
vendor/vinades/nukeviet/Files/Upload.php

Las funciones afectadas incluyen:

save_urlfile()
check_url()

Estas funciones procesan una URL de archivo remoto proporcionada por el usuario (fileurl) sin suficiente validación ni restricciones en las solicitudes salientes.

Descripción Técnica

La funcionalidad de carga remota permite a los administradores cargar archivos usando una URL como origen. Cuando se proporciona una URL manipulada a través del parámetro fileurl, la aplicación realiza una solicitud del lado del servidor al destino proporcionado.

Debido a que no se implementa una validación suficiente, un atacante con acceso de administrador puede abusar de este comportamiento para forzar al servidor de la aplicación a iniciar solicitudes HTTP hacia cualquier recurso interno o externo.

Además, se sigue el comportamiento de redirección, aumentando el riesgo de acceso a recursos internos y reconocimiento de red.

Vector de Ataque

Un administrador autenticado envía una URL manipulada al endpoint de carga remota.

Escenario de ataque de ejemplo:

1. El administrador accede a la funcionalidad de carga remota.
2. Se proporciona una URL maliciosa que apunta a servicios internos.
3. El servidor realiza una solicitud saliente.
4. Los servicios internos pueden ser sondeados o enumerados.

Ejemplos de objetivos:

http://127.0.0.1
http://localhost
http://169.254.169.254
http://192.168.1.1
http://internal-service:8080

Esto puede permitir:

• Escaneo de red interna
• Acceso a servicios solo internos
• Exposición de metadatos de la nube (dependiente del entorno)
• Divulgación de información

Prueba de Concepto (PoC)

Ejemplo de solicitud manipulada:

POST /admin/index.php?language=en&nv=upload&op=upload HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: admin_session=SESSION

fileurl=http://127.0.0.1:8080

El servidor intenta obtener la URL proporcionada, resultando en una solicitud del lado del servidor a un recurso interno.

Impacto de Seguridad

Una explotación exitosa puede permitir a un atacante:

• Enumerar servicios de red interna
• Escanear localhost o rangos de IP internos
• Acceder a endpoints internos sensibles
• Recuperar información de servicios internos
• Potencialmente acceder a servicios de metadatos de la nube dependiendo de la configuración de implementación

Causa Raíz

El problema ocurre debido a:

• Falta de validación adecuada de URL
• Falta de restricciones en solicitudes salientes
• Sin aplicación de listas blancas/negras para rangos de IP internos
• Redirecciones que se siguen automáticamente

Mitigación Recomendada

VINADES JSC debería implementar las siguientes mitigaciones:

1. Bloquear solicitudes a rangos de IP internos/privados:

127.0.0.0/8
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.169.254
localhost

2. Restringir los protocolos permitidos a:

http
https

3. Deshabilitar o restringir redirecciones.

4. Implementar validación de nombres de host y DNS para prevenir técnicas de evasión de SSRF.

5. Usar un enfoque de lista blanca para dominios remotos confiables cuando sea posible.

Cronología

• Vulnerabilidad descubierta por: Pavan V
• Respuesta del vendedor: Corregido en la próxima versión (si aplica)
• CVE Asignado: CVE-2026-37197

Referencias

• Repositorio del proyecto: https://github.com/nukeviet/nukeviet

Descubridor

Pavan V