Veille CVE

‹ Retour à la liste

CVE-2026-59702

9.3 Critique

Publiée le 08/07/2026 à 18:16 · Modifiée le 10/07/2026 à 20:22 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

repomix contains a server-side request forgery vulnerability in the POST /api/pack endpoint that allows unauthenticated attackers to make arbitrary outbound requests. The endpoint fails to properly validate http://, https://, and file:// URLs before passing them to git clone, enabling attackers to access private network addresses, GCP metadata services, or local filesystem paths.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 9.2 Critique disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 9.3 Critique disclosure@vulncheck.com CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

Faiblesses (CWE)

Références

Ailleurs