CVE-2025-59344
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
AliasVault w wersjach 0.23.0 i starszych zawiera podatność SSRF w funkcji pobierania faviconów API. Uwierzytelniony użytkownik o niskich uprawnieniach może wymusić na backendzie żądania HTTP(S) do wewnętrznych hostów i portów, a odpowiedzi mogą zostać zwrócone w formie Base64.
Ocena ryzyka
Możliwe jest mapowanie usług wewnętrznych i dostęp do zasobów wewnętrznych sieci. Podatność dotyczy tylko publicznie dostępnych instancji z włączoną rejestracją publiczną.
Rekomendacja
Zaktualizuj AliasVault do wersji 0.23.1. Ogranicz publiczną rejestrację i dostęp do instancji z internetu.
Inne podatności w AliasVault
Zobacz wszystkie- CVE-2026-94621Średnie
AliasVault to menedżer haseł z wbudowanym aliasowaniem e-mail. W wersjach przed 0.30.3 serwer API przy ekstrakcji favicon waliduje nazwę hosta za pomocą pierwszego zapytania DNS, ale pozwala klientowi HTTP na wykonanie drugiego zapytania DNS przy połączeniu. Uwierzytelniony użytkownik o niskich uprawnieniach kontrolujący autorytatywny serwer DNS może zwrócić publiczny adres podczas walidacji i prywatny adres podczas połączenia, powodując, że publicznie dostępny serwer wysyła żądania HTTP/HTTPS do wewnętrznych hostów.
- CVE-2026-55587Wysokie
AliasVault to menedżer haseł z wbudowanym aliasowaniem e-mail, stawiający na prywatność. W wersjach przed 0.29.4 dostawca passkey w rozszerzeniu przeglądarki AliasVault nie wiąże żądań passkey z rzeczywistym pochodzeniem strony ani nie weryfikuje, czy żądany identyfikator strony polegającej pasuje do bieżącej witryny. Złośliwa witryna może podać fałszywe wartości origin i relying-party, a jeśli ofiara z pasującym zapisanym passkey zatwierdzi monit AliasVault, uzyska ważną asercję dla innej witryny. Wykorzystanie wymaga zainstalowanego, odblokowanego rozszerzenia skonfigurowanego jako dostawca passkey, zapisanego passkey dla podszywanej witryny i nie może nastąpić po cichu, ponieważ ofiara musi zatwierdzić monit. Serwer, aplikacja webowa i aplikacje mobilne nie są dotknięte. Problem naprawiono w wersji 0.29.4.
Oryginalny opis (angielski, źródło NVD)
AliasVault is a privacy-first password manager with built-in email aliasing. A server-side request forgery (SSRF) vulnerability exists in the favicon extraction feature of AliasVault API versions 0.23.0 and lower. The extractor fetches a user-supplied URL, parses the returned HTML, and follows <link rel="icon" href="…">. Although the initial URL is validated to allow only HTTP/HTTPS with default ports, the extractor automatically follows redirects and does not block requests to loopback or internal IP ranges. An authenticated, low-privileged user can exploit this behavior to coerce the backend into making HTTP(S) requests to arbitrary internal hosts and non-default ports. If the target host serves a favicon or any other valid image, the response is returned to the attacker in Base64 form. Even when no data is returned, timing and error behavior can be abused to map internal services. This vulnerability only affects self-hosted AliasVault instances that are reachable from the public internet with public user registration enabled. Private/internal deployments without public sign-ups are not directly exploitable. This issue has been fixed in AliasVault release 0.23.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS