CVE-2026-45806

总结

Penpot 是一款开源设计工具，用于设计与代码协作。在 2.15.0 之前，Penpot 的远程图片导入会将用户控制的 url 从 frontend/src/app/main/data/workspace/media.cljs 传入后端 RPC 方法 :create-file-media-object-from-url（位于 backend/src/app/rpc/commands/media.clj），其中 backend/src/app/media.clj 中的 media/download-image 使用的共享 HTTP 客户端未进行目标地址过滤，从而允许已认证的文件编辑器访问仅限内部使用的端点。此问题已在 2.15.0 版本中修复。

• CVE-2026-45806PoC

  Penpot 的远程图片导入功能允许经过身份验证的文件编辑器将一个普通的媒体便捷功能变成后端发起的 SSRF，因为攻击者控制的 URL 进入了跟随重定向的服务器抓取路径，且未对目标进行过滤。