CVE-2026-45806

ВысокийОпубликовано

Penpot: Аутентифицированный SSRF при импорте удалённых изображений через create-file-media-object-from-url

Опубликовано: 15 июл. 2026 г.
Обновлено: 20 июл. 2026 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

7,7/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Оценка вероятности EPSS

0,4 %

Низкий · следующие 30 дней

Процентиль: 29,0 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Penpot — это инструмент с открытым исходным кодом для дизайна и совместной работы дизайнеров и разработчиков. До версии 2.15.0 импорт удалённых изображений в Penpot передавал управляемый пользователем URL из frontend/src/app/main/data/workspace/media.cljs в backend-метод RPC :create-file-media-object-from-url в backend/src/app/rpc/commands/media.clj, где media/download-image в backend/src/app/media.clj использовал общий HTTP-клиент без фильтрации адресов назначения, что позволяло аутентифицированному редактору файлов обращаться к внутренним конечным точкам. Эта проблема исправлена в версии 2.15.0.

Источники

CVE-2026-45806PoC
Функция импорта удаленных изображений в Penpot позволяет аутентифицированному редактору файлов превратить обычную медиа-функцию в SSRF с серверной стороны, поскольку управляемые атакующим URL попадали в путь загрузки сервера, который следует за перенаправлениями, без фильтрации назначения.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.