home / blog
2026-10-31 · media
CVE-2026-119712: SSRF nel servizio di indexing PipesHub
PipesHub before 0.10.0 è vulnerabile a SSRF tramite URL di immagini in documenti. Amministratori devono aggiornare.
CVE-2026-119712 è una vulnerabilità di Server-Side Request Forgery (SSRF) in PipesHub, un servizio di indexing di documenti. La falla in ImageParser._fetch_single_url consente agli attaccanti di incorporare URL di immagini in documenti Markdown o HTML per dirigere il servizio di indexing verso indirizzi interni: loopback, reti private, endpoint di metadata cloud. Colpisce amministratori che gestiscono PipesHub con upload da mailbox sincronizzate o web connector.
Il CVSS ufficiale da NVD è 6,4 (medium). Segnali GitHub dal 2026-10-31 indicano proof-of-concept verificato. La falla è descritta coerentemente nelle fonti. Pubblicata il 2026-10-30, non è ripubblicazione di notizie precedenti.
Amministratori devono aggiornare PipesHub a versione 0.10.0 o successiva senza indugi. Nel frattempo, limitare accesso ai connector e alle mailbox sincronizzate che alimentano l'indexing. Verificare i log di rete per tentativi di accesso a indirizzi interni. Monitorare le risposte di immagine nei documenti indicizzati per segnali anomali. Nessun workaround generico disponibile finché l'aggiornamento non è distribuito.
In sintesi
- Cosa
- Server-Side Request Forgery (SSRF) in ImageParser._fetch_single_url di PipesHub. Attaccanti incorporano URL di immagini in documenti Markdown/HTML per dirigere il servizio di indexing verso indirizzi interni (loopback, reti private, endpoint di metadata cloud). Colpisce upload da mailbox sincronizzate e web connector.
- Gravità
- CVSS 6,4 (medium) da NVD.
- Versioni interessate
- PipesHub before 0.10.0
- Correzione
- Aggiornare a versione 0.10.0 o successiva.
- Stato
- Pubblicata NVD 2026-10-30. Segnali GitHub 2026-10-31 indicano proof-of-concept verificato. Non è ripubblicazione di notizia precedente.
- Azione
- Aggiornare immediatamente a 0.10.0 o successiva. Limitare accesso ai connector e mailbox sincronizzate. Verificare log per tentativi di accesso a indirizzi interni. Monitorare documenti indicizzati per segnali di metadata endpoint cloud.
Fonti: NVD, CVE-2026-119712