CVE-2026-62143

misp-modules'ın html_to_markdown genişletme modülünde bir Sunucu Taraflı İstek Sahteciliği (SSRF) koruma atlatma zafiyeti bulunmaktaydı. Modül; loopback, özel, link-local ve diğer kısıtlanmış IP adresi aralıklarına yapılan istekleri engellemeye çalışmaktadır. Ancak, IP adresleri, IPv4-eşlenmiş IPv6 adresleri önce normalize edilmeden engellenen aralıklarla karşılaştırılıyordu. Modülü çağırabilen kimliği doğrulanmış bir saldırgan, şu örneklere benzer bir IPv4-eşlenmiş IPv6 adresi sağlayabilirdi: http://[::ffff:127.0.0.1]/ http://[::ffff:169.254.169.254]/ Alternatif olarak saldırgan, IPv4-eşlenmiş bir IPv6 adresine çözümlenen bir ana makine adı (hostname) kullanabilirdi. Bu adresler IPv6 adresi olarak değerlendirildiği için ilgili engellenmiş IPv4 aralıklarıyla eşleşmiyordu. Başarılı bir istismar, misp-modules sunucusunun kendi loopback arayüzü, dahili ağı veya link-local ağı üzerinden erişilebilen servislere bağlanmasına neden olabilirdi. Bu durum; dahili web servislerini, yönetim arayüzlerini veya bulut örneği meta verilerini açığa çıkarabilir ve elde edilen içerikler dönüştürülmüş Markdown formatında saldırgana geri döndürülebilirdi. Zafiyet, engellenen aralık kontrolleri uygulanmadan önce IPv4-eşlenmiş IPv6 adreslerinin temel IPv4 temsillerine normalize edilmesiyle giderilmiştir. Geçerli bir ana makine adına sahip olmayan URL'ler artık reddedilmektedir.