FICHE CVE

CVE-2026-71272

Publiée le 2026-08-05 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les serveurs Memos sont affectés par une faille dans la manière dont les webhooks valident les adresses de destination. Un utilisateur authentifié peut contourner les filtres de sécurité pour forcer le serveur à effectuer des requêtes vers des ressources réseau internes et restreintes (une attaque SSRF), entraînant potentiellement la fuite de données internes sensibles. Cette opération peut être exécutée via le réseau avec une faible complexité et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 3.18.5 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-08-05

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Memos' webhook dispatch function safeDialContext (internal/webhook/webhook.go) resolves the target hostname via net.DefaultResolver.LookupHost and validates the resulting IPs against reserved ranges, but then dials net.JoinHostPort(host, port) using the original hostname rather than the already-validated IP address.