CVE-2026-37197 - Подделка запросов на стороне сервера (SSRF) в NukeViet CMS v4.5.07

Обзор

Подделка запросов на стороне сервера (SSRF) существует в VINADES JSC NukeViet CMS v4.5.07 в функции удалённой загрузки администратора. Проблема позволяет аутентифицированному администратору инициировать HTTP-запросы на стороне сервера к произвольным URL, указав поддельный URL удалённого файла при загрузке.

Эта уязвимость может позволить атакующим взаимодействовать с внутренними сетевыми службами, сканировать внутренние ресурсы или получить доступ к ограниченным конечным точкам, которые недоступны напрямую извне.

Детали уязвимости

• CVE ID: CVE-2026-37197
• Тип уязвимости: Подделка запросов на стороне сервера (SSRF)
• Вендор: VINADES JSC
• Продукт: NukeViet CMS
• Затронутая версия: v4.5.07
• Тип атаки: Удалённая
• Требуется аутентификация: Да (требуется доступ администратора)
• Влияние: Раскрытие информации / Сканирование внутренних сетей

Затронутые компоненты

Уязвимость присутствует в следующих компонентах:

admin/upload/upload.php
vendor/vinades/nukeviet/Files/Upload.php

Затронутые функции включают:

save_urlfile()
check_url()

Эти функции обрабатывают предоставленный пользователем URL удалённого файла (fileurl) без достаточной проверки или ограничений на исходящие запросы.

Техническое описание

Функция удалённой загрузки позволяет администраторам загружать файлы, используя URL-источник. Когда через параметр fileurl передаётся поддельный URL, приложение выполняет запрос на стороне сервера к указанному адресату.

Из-за недостаточной валидации атакующий с правами администратора может использовать это поведение, чтобы заставить сервер приложения инициировать HTTP-запросы к произвольным внутренним или внешним ресурсам.

Кроме того, перенаправления обрабатываются автоматически, что увеличивает риск доступа к внутренним ресурсам и сетевой разведки.

Вектор атаки

Аутентифицированный администратор отправляет поддельный URL на конечную точку удалённой загрузки.

Пример сценария атаки:

1. Администратор заходит в функцию удалённой загрузки.
2. Указывается вредоносный URL, указывающий на внутренние службы.
3. Сервер выполняет исходящий запрос.
4. Внутренние службы могут быть просканированы или перечислены.

Примеры целей:

http://127.0.0.1
http://localhost
http://169.254.169.254
http://192.168.1.1
http://internal-service:8080

Это может позволить:

• Сканирование внутренней сети
• Доступ к ресурсам, доступным только изнутри
• Раскрытие данных облачной метаинформации (в зависимости от окружения)
• Утечку информации

Доказательство концепции (PoC)

Пример поддельного запроса:

POST /admin/index.php?language=en&nv=upload&op=upload HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: admin_session=SESSION

fileurl=http://127.0.0.1:8080

Сервер пытается загрузить указанный URL, что приводит к запросу на стороне сервера к внутреннему ресурсу.

Влияние на безопасность

Успешная эксплуатация может позволить атакующему:

• Перечислить внутренние сетевые службы
• Сканировать localhost или внутренние IP-диапазоны
• Получить доступ к чувствительным внутренним конечным точкам
• Извлечь информацию из внутренних сервисов
• Потенциально получить доступ к облачным метаданным в зависимости от конфигурации развёртывания

Основная причина

Проблема возникает из-за:

• Отсутствия надлежащей проверки URL
• Отсутствия ограничений на исходящие запросы
• Отсутствия применения белого или чёрного списков для внутренних IP-диапазонов
• Автоматического следования за перенаправлениями

Рекомендации по устранению

VINADES JSC следует реализовать следующие меры защиты:

1. Блокировать запросы к внутренним/частным IP-диапазонам:

127.0.0.0/8
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.169.254
localhost

2. Ограничить разрешённые протоколы:

http
https

3. Отключить или ограничить перенаправления.

4. Реализовать проверку имени хоста и DNS для предотвращения методов обхода SSRF.

5. По возможности использовать белый список для доверенных удалённых доменов.

Хронология

• Уязвимость обнаружена: Pavan V
• Ответ вендора: Исправлено в предстоящем выпуске (если применимо)
• Назначен CVE: CVE-2026-37197

Ссылки

• Репозиторий проекта: https://github.com/nukeviet/nukeviet

Обнаружитель

Pavan V