8.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Logto through 1.42.0 contains a server-side request forgery vulnerability in the POST /api/hooks/:id/test endpoint that accepts arbitrary URLs without host validation. Tenant administrators with Management API tokens can make the server issue HTTP POST requests to internal URLs and retrieve response bodies from services on the private network.
Засегнати продукти
- logto-io logto: до 1.42.0
Вид слабост
История
- 28 август 2026 Публикувано
Други уязвимости в logto-io logto
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-82262
- https://nvd.nist.gov/vuln/detail/CVE-2026-82262
- https://github.com/logto-io/logto/issues/9465
- https://github.com/logto-io/logto
- https://github.com/logto-io/logto/blob/v1.42.0/packages/core/src/libraries/hook/utils.ts
- https://github.com/logto-io/logto/commit/16f4b2e732d5114ac98646c9370ec6ab61d6ed26
- https://www.vulncheck.com/advisories/logto-server-side-request-forgery-via-webhook-test-endpoint