« Volver al listado

CVE-2026-107449

Estado: AplazadaBaja (3.4)—

linuxserver Heimdall hasta la 2.8.3 aplica su mecanismo de protección SSRF SafeUrlFetcher solo a ItemController; las solicitudes de prueba de aplicaciones mejoradas y de estadísticas en directo se realizan mediante SupportedApps::execute(), un cliente GuzzleHttp que carece de restricciones de direcciones IP. En algunas instalaciones realistas, los endpoints POST /test_config (y GET /get_stats) son accesibles mediante CSRF, por lo que un atacante no autenticado puede obligar al servidor a enviar solicitudes a hosts y puertos internos arbitrarios (incluido 169.254.169.254) y leer un oráculo de estado/puerto además de datos parciales de la respuesta.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

UI:R requiere interacción del usuario (CSRF); T1090 por SSRF explícito sin restricciones IP; T1552 por lectura de datos de hosts internos (169.254.169.254).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficUpdate SoftwareActive Directory ConfigurationUser TrainingSSL/TLS InspectionRestrict File and Directory Permissions

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Linuxserver — HeimdallAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107449",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107449",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T17:34:52.742208Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "cve@mitre.org",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 3.4,
          "attackVector": "NETWORK",
          "baseSeverity": "LOW",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "REQUIRED",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 1.6
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "repo": "https://github.com/linuxserver/Heimdall",
          "vendor": "linuxserver",
          "modules": [
            "Enhanced app test/livestats (test_config",
            "get_stats)"
          ],
          "product": "Heimdall",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "semver",
              "lessThanOrEqual": "2.8.3"
            }
          ],
          "programFiles": [
            "app/SupportedApps.php",
            "app/Http/Controllers/ItemController.php"
          ],
          "defaultStatus": "unknown",
          "programRoutines": [
            {
              "name": "SupportedApps::execute"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T05:17:04.297",
  "references": [
    {
      "url": "https://github.com/kashishtopi/heimdall-unauth-ssrf",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/linuxserver/Heimdall/blob/9ad5864a80d7025db1e6eab8eb2981c165b0ddff/app/SupportedApps.php",
      "source": "cve@mitre.org"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "cve@mitre.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-918"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "linuxserver Heimdall through 2.8.3 applies its SafeUrlFetcher SSRF protection mechanism only to ItemController; the enhanced-application test and live-stats requests occur via SupportedApps::execute(), a GuzzleHttp client that lacks IP address restrictions. In some realistic installations, the POST /test_config (and GET /get_stats) endpoints are accessible through CSRF, and thus an unauthenticated attacker can force the server to send requests to arbitrary internal hosts and ports (including 169.254.169.254) and read a status/port oracle in addition to partial response data."
    }
  ],
  "lastModified": "2026-10-08T21:35:53.890",
  "sourceIdentifier": "cve@mitre.org"
}