CVE-2026-37197 - Server-Side Request Forgery (SSRF) no NukeViet CMS v4.5.07

Visão Geral

Existe uma vulnerabilidade Server-Side Request Forgery (SSRF) no VINADES JSC NukeViet CMS v4.5.07 no recurso de upload remoto do administrador. O problema permite que um administrador autenticado dispare requisições HTTP do lado do servidor para URLs arbitrárias, fornecendo uma URL de arquivo remoto maliciosa durante o upload de arquivos.

Esta vulnerabilidade pode permitir que atacantes interajam com serviços de rede internos, escaneiem recursos internos ou acessem endpoints restritos que não são diretamente acessíveis externamente.

Detalhes da Vulnerabilidade

• CVE ID: CVE-2026-37197
• Tipo de Vulnerabilidade: Server-Side Request Forgery (SSRF)
• Vendor: VINADES JSC
• Product: NukeViet CMS
• Affected Version: v4.5.07
• Tipo de Ataque: Remoto
• Autenticação Necessária: Sim (Acesso de administrador necessário)
• Impacto: Divulgação de Informações / Enumeração de Rede Interna

Componentes Afetados

A vulnerabilidade existe nos seguintes componentes:

admin/upload/upload.php
vendor/vinades/nukeviet/Files/Upload.php

Funções afetadas incluem:

save_urlfile()
check_url()

Essas funções processam uma URL de arquivo remoto fornecida pelo usuário (fileurl) sem validação ou restrições suficientes em requisições de saída.

Descrição Técnica

A funcionalidade de upload remoto permite que administradores façam upload de arquivos usando uma URL como origem. Quando uma URL maliciosa é fornecida através do parâmetro fileurl, a aplicação realiza uma requisição do lado do servidor para o destino fornecido.

Devido à validação insuficiente implementada, um atacante com acesso administrativo pode abusar desse comportamento para forçar o servidor da aplicação a iniciar requisições HTTP para recursos internos ou externos arbitrários.

Além disso, o comportamento de redirecionamento é seguido, aumentando o risco de acesso a recursos internos e reconhecimento de rede.

Vetor de Ataque

Um administrador autenticado submete uma URL maliciosa ao endpoint de upload remoto.

Exemplo de cenário de ataque:

1. O administrador acessa a funcionalidade de upload remoto.
2. Uma URL maliciosa apontando para serviços internos é fornecida.
3. O servidor realiza uma requisição de saída.
4. Serviços internos podem ser sondados ou enumerados.

Exemplos de alvos:

http://127.0.0.1
http://localhost
http://169.254.169.254
http://192.168.1.1
http://internal-service:8080

Isso pode possibilitar:

• Escaneamento de rede interna
• Acesso a serviços exclusivamente internos
• Exposição de metadados da nuvem (dependente do ambiente)
• Divulgação de informações

Prova de Conceito (PoC)

Exemplo de requisição maliciosa:

POST /admin/index.php?language=en&nv=upload&op=upload HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: admin_session=SESSION

fileurl=http://127.0.0.1:8080

O servidor tenta buscar a URL fornecida, resultando em uma requisição do lado do servidor para um recurso interno.

Impacto na Segurança

A exploração bem-sucedida pode permitir que um atacante:

• Enumere serviços de rede interna
• Escaneie localhost ou faixas de IP internos
• Acesse endpoints internos sensíveis
• Recupere informações de serviços internos
• Potencialmente acesse serviços de metadados da nuvem dependendo da configuração de implantação

Causa Raiz

O problema ocorre devido a:

• Falta de validação adequada de URL
• Ausência de restrições em requisições de saída
• Nenhuma aplicação de lista de permissão/bloqueio para faixas de IP internas
• Redirecionamentos sendo seguidos automaticamente

Mitigação Recomendada

A VINADES JSC deve implementar as seguintes mitigações:

1. Bloquear requisições para faixas de IP internas/privadas:

127.0.0.0/8
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.169.254
localhost

2. Restringir os protocolos permitidos a:

http
https

3. Desabilitar ou restringir redirecionamentos.

4. Implementar validação de hostname e DNS para prevenir técnicas de bypass de SSRF.

5. Usar uma abordagem de lista de permissão para domínios remotos confiáveis quando possível.

Linha do Tempo

• Descoberta por: Pavan V
• Resposta do Fabricante: Corrigido em lançamento futuro (se aplicável)
• CVE Assigned: CVE-2026-37197

Referências

• Repositório do Projeto: https://github.com/nukeviet/nukeviet

Descobridor

Pavan V