CVE-2026-115411

crawlseo 0.2.4 versiyonundan önceki sürümler, crawler motorunda bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti içermektedir; burada isPrivateIp() fonksiyonu, RFC 6598 Carrier-Grade NAT, RFC 6890, TEST-NET aralıkları ve belirli IPv6 adresleri gibi ayrılmış IP aralıklarını engellemede başarısız olmakta ve ek olarak doğrulanmış adresi gerçek giden bağlantı için sabitlemediğinden bir TOCTOU DNS rebinding atlatmasına izin vermektedir. Kimliği doğrulanmış bir saldırgan, dahili veya kısıtlanmış bir adrese çözümlenen kötü amaçlı bir alan adı ekleyebilir, dahili servislere veya 169.254.169.254 gibi bulut meta veri uç noktalarına ulaşmak için bir tarama tetikleyebilir ve getirilen sayfanın başlığını, açıklamasını, başlıklarını, durum kodunu ve bağlantılarını tarama sonuçları API'si üzerinden alarak dahili ağ keşfi gerçekleştirebilir.