CVE-2026-62143

misp-modules-un html_to_markdown genişlənmə modulunda Server-Side Request Forgery (SSRF) müdafiəsinin yan keçilməsi boşluğu mövcud idi. Modul loopback, şəxsi (private), link-local və digər məhdudlaşdırılmış IP ünvan diapazonlarına sorğuların qarşısını almağa çalışır. Lakin, IP ünvanları bloklanmış diapazonlarla müqayisə edilməzdən əvvəl IPv4-map edilmiş IPv6 ünvanlarının normallaşdırılması həyata keçirilmir. Modulu çağıra bilən autentifikasiya olunmuş hücumçu aşağıdakı kimi IPv4-map edilmiş IPv6 ünvanını təqdim edə bilərdi: http://[::ffff:127.0.0.1]/ http://[::ffff:169.254.169.254]/ Alternativ olaraq, hücumçu IPv4-map edilmiş IPv6 ünvanına yönlənən bir host adından istifadə edə bilərdi. Bu ünvanlar IPv6 ünvanları kimi qəbul edilirdi və buna görə də müvafiq bloklanmış IPv4 diapazonları ilə üst-üstə düşmürdü. Uğurlu istismar misp-modules serverinin öz loopback interfeysi, daxili şəbəkəsi və ya link-local şəbəkəsi vasitəsilə əlçatan olan xidmətlərə qoşulmasına səbəb ola bilərdi. Bu, daxili veb xidmətləri, inzibati interfeysləri və ya bulud instansiya metaverilənlərini üzə çıxara bilərdi və əldə edilən məzmun potensial olaraq çevrilmiş Markdown formatında hücumçuya qaytarıla bilərdi. Boşluq, bloklanmış diapazon yoxlamaları tətbiq edilməzdən əvvəl IPv4-map edilmiş IPv6 ünvanlarının onların əsas IPv4 təmsilinə normallaşdırılması ilə aradan qaldırılıb. Artıq etibarlı host adı olmayan URL-lər də rədd edilir.