CVE-2026-37197 - NukeViet CMS v4.5.07 में सर्वर-साइड अनुरोध जालसाजी (SSRF)

अवलोकन

VINADES JSC NukeViet CMS v4.5.07 में एडमिन रिमोट अपलोड सुविधा में एक सर्वर-साइड अनुरोध जालसाजी (SSRF) भेद्यता मौजूद है। यह समस्या एक प्रमाणित प्रशासक को फ़ाइल अपलोड के दौरान एक क्राफ्टेड रिमोट फ़ाइल URL प्रदान करके सर्वर-साइड HTTP अनुरोधों को मनमाने URL पर ट्रिगर करने की अनुमति देती है।

यह भेद्यता हमलावरों को आंतरिक नेटवर्क सेवाओं से संपर्क करने, आंतरिक संसाधनों को स्कैन करने, या प्रतिबंधित एंडपॉइंट तक पहुँचने की अनुमति दे सकती है जो बाहरी रूप से सीधे पहुँच योग्य नहीं हैं।

भेद्यता विवरण

फ़ील्ड	विवरण
CVE ID	CVE-2026-37197
भेद्यता प्रकार	सर्वर-साइड अनुरोध जालसाजी (SSRF)
विक्रेता	VINADES JSC
उत्पाद	NukeViet CMS
प्रभावित संस्करण	v4.5.07
हमले का प्रकार	दूरस्थ
प्रमाणीकरण आवश्यक	हाँ (प्रशासक पहुँच आवश्यक)
प्रभाव	सूचना प्रकटीकरण / आंतरिक नेटवर्क गणना

प्रभावित घटक

भेद्यता निम्नलिखित घटकों में मौजूद है:

admin/upload/upload.php
vendor/vinades/nukeviet/Files/Upload.php

प्रभावित फ़ंक्शन शामिल हैं:

save_urlfile()
check_url()

ये फ़ंक्शन उपयोगकर्ता-प्रदत्त रिमोट फ़ाइल URL (fileurl) को आउटबाउंड अनुरोधों पर पर्याप्त सत्यापन या प्रतिबंध के बिना संसाधित करते हैं।

तकनीकी विवरण

रिमोट अपलोड कार्यक्षमता प्रशासकों को URL स्रोत का उपयोग करके फ़ाइलें अपलोड करने की अनुमति देती है। जब fileurl पैरामीटर के माध्यम से एक क्राफ्टेड URL प्रदान किया जाता है, तो एप्लिकेशन प्रदान किए गए गंतव्य के लिए एक सर्वर-साइड अनुरोध करता है।

अपर्याप्त सत्यापन के कारण, प्रशासनिक पहुँच वाला हमलावर इस व्यवहार का दुरुपयोग करके एप्लिकेशन सर्वर को मनमाने आंतरिक या बाहरी संसाधनों पर HTTP अनुरोध शुरू करने के लिए मजबूर कर सकता है।

इसके अतिरिक्त, रीडायरेक्ट व्यवहार का पालन किया जाता है, जिससे आंतरिक संसाधनों तक पहुँच और नेटवर्क टोह लेने का जोखिम बढ़ जाता है।

हमला वेक्टर

एक प्रमाणित प्रशासक रिमोट अपलोड एंडपॉइंट पर एक क्राफ्टेड URL प्रस्तुत करता है।

हमले का उदाहरण परिदृश्य:

प्रशासक रिमोट अपलोड कार्यक्षमता तक पहुँचता है।
आंतरिक सेवाओं की ओर इशारा करते हुए एक दुर्भावनापूर्ण URL प्रदान किया जाता है।
सर्वर एक आउटबाउंड अनुरोध करता है।
आंतरिक सेवाओं की जाँच या गणना की जा सकती है।

उदाहरण लक्ष्य:

http://127.0.0.1
http://localhost
http://169.254.169.254
http://192.168.1.1
http://internal-service:8080

यह सक्षम कर सकता है:

आंतरिक नेटवर्क स्कैनिंग
केवल आंतरिक सेवाओं तक पहुँच
क्लाउड मेटाडेटा का एक्सपोज़र (पर्यावरण पर निर्भर)
सूचना प्रकटीकरण

प्रूफ ऑफ कॉन्सेप्ट (PoC)

उदाहरण क्राफ्टेड अनुरोध:

POST /admin/index.php?language=en&nv=upload&op=upload HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: admin_session=SESSION

fileurl=http://127.0.0.1:8080

सर्वर प्रदान किए गए URL को लाने का प्रयास करता है, जिसके परिणामस्वरूप एक आंतरिक संसाधन के लिए सर्वर-साइड अनुरोध होता है।

सुरक्षा प्रभाव

सफल शोषण एक हमलावर को अनुमति दे सकता है:

आंतरिक नेटवर्क सेवाओं की गणना करना
लोकलहोस्ट या आंतरिक IP श्रेणियों को स्कैन करना
संवेदनशील आंतरिक एंडपॉइंट तक पहुँचना
आंतरिक सेवाओं से जानकारी प्राप्त करना
तैनाती कॉन्फ़िगरेशन के आधार पर क्लाउड मेटाडेटा सेवाओं तक संभावित पहुँच

मूल कारण

यह समस्या निम्न के कारण होती है:

उचित URL सत्यापन की कमी
आउटबाउंड अनुरोध प्रतिबंधों का अभाव
आंतरिक IP श्रेणियों के लिए अनुमत/अवरुद्ध सूची प्रवर्तन का अभाव
रीडायरेक्ट का स्वचालित रूप से अनुसरण किया जाना

अनुशंसित शमन

VINADES JSC को निम्नलिखित शमन लागू करने चाहिए:

आंतरिक/निजी IP श्रेणियों के लिए अनुरोधों को अवरुद्ध करें:

127.0.0.0/8
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.169.254
localhost

अनुमत प्रोटोकॉल को सीमित करें:

http
https

रीडायरेक्ट को अक्षम या प्रतिबंधित करें।
SSRF बाईपास तकनीकों को रोकने के लिए होस्टनाम और DNS सत्यापन लागू करें।
जहाँ संभव हो, विश्वसनीय रिमोट डोमेन के लिए अनुमत सूची दृष्टिकोण का उपयोग करें।

समयरेखा

भेद्यता द्वारा खोजा गया: Pavan V
विक्रेता प्रतिक्रिया: आगामी रिलीज़ में तय (यदि लागू हो)
CVE असाइन किया गया: CVE-2026-37197

संदर्भ

प्रोजेक्ट रिपॉजिटरी: https://github.com/nukeviet/nukeviet

खोजकर्ता

Pavan V

CVE-2026-37197

सबसे लोकप्रिय