CVE-2026-27730

Yüksek

Açıklama

esm.sh, web geliştirme için derleme gerektirmeyen bir içerik dağıtım ağıdır (CDN). 137 sürümü dahil ve öncesindeki sürümlerde, esm.sh'ın `/http(s)` getirme rotasında bir SSRF zafiyeti (CWE-918) bulunmaktadır. Servis, localhost/dahili hedefleri engellemeye çalışmaktadır ancak doğrulama ana bilgisayar adı dize kontrollerine dayanmaktadır ve DNS takma ad alan adları kullanılarak atlatılabilir. Bu durum, harici bir istekçinin esm.sh sunucusuna dahili localhost servislerini getirtmesine olanak tanır. Yayınlandığı tarih itibarıyla bilinen herhangi bir yamalı sürüm mevcut değildir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünEsm.sh

Yayın25 Şub 2026

İlk görülme25 Şub 2026

Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Güncelleyin

github.com/esm-dev/esm.sh0.0.0-20250616164159-0593516c4cfa ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
esm esm.sh	v ≤ 137	—
github.com/esm-dev/esm.shGo	v < 0.0.0-20250616164159-0593516c4cfa	0.0.0-20250616164159-0593516c4cfa

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.