SSRF в экспорте PDF Wegow: CVE-2026-101300
Исследователи сообщили об уязвимости класса Server-Side Request Forgery (SSRF) в платформе Wegow, затрагивающей функциональность экспорта PDF с графиками продаж билетов. Проблеме присвоен идентификатор CVE-2026-101300, уровень опасности оценивается как высокий — CVSS 7.1.
Подробности
Уязвимость затрагивает продукт Wegow Technologies Wegow. Согласно описанию, недостаток кроется в механизме экспорта PDF, который запускается при выборе опции «Download PDF» для графика продаж билетов.
Аутентифицированный пользователь с аккаунтом промоутера может манипулировать параметром <svg> в POST-запросе, формируемом при экспорте. Содержимое этого параметра обрабатывается сервисом export.highcharts.com, который в результате выполняет HTTP-запросы к внешним ресурсам, контролируемым атакующим. Полученные ответы встраиваются в генерируемый PDF-документ.
Таким образом, экспортный сервис выступает в роли посредника: злоумышленник может инициировать обращения к произвольным внешним адресам от имени сервиса и получать содержимое их ответов внутри итогового файла. Это классический сценарий SSRF, позволяющий использовать доверенный компонент инфраструктуры для непрямого доступа к ресурсам.
Для эксплуатации требуется наличие действующего аккаунта промоутера, что снижает круг потенциальных атакующих, однако высокий показатель CVSS указывает на существенную значимость проблемы. Точные версии затронутого продукта в записи CVE не приведены.
Что делать
В первую очередь рекомендуется проверить наличие обновлений от Wegow Technologies и установить их при первой возможности — производитель обычно выпускает патч вместе с публикацией CVE. Если обновление ещё не доступно, стоит рассмотреть временные компенсирующие меры:
- Ограничить или приостановить использование функции экспорта PDF для графиков продаж до выхода исправления.
- Провести аудит прав аккаунтов промоутеров и убедиться, что доступ предоставлен только доверенным пользователям.
- На стороне экспортного сервиса ограничить исходящие HTTP-запросы — блокировать обращения к внутренним и нежелательным внешним адресам (реализация списков разрешённых ресурсов).
- Вести мониторинг исходящего трафика от сервиса экспорта на предмет подозрительных обращений к внешним доменам.
Также целесообразно ограничить обработку пользовательского содержимого, передаваемого в параметре <svg>, и валидировать его перед отправкой в сервис генерации PDF.
Уязвимость CVE-2026-101300 демонстрирует, как интеграция с внешним сервисом рендеринга может расширить поверхность атаки: даже при наличии аутентификации SSRF способен превратить доверенный компонент в инструмент для непрямых запросов. Своевременное обновление и ограничение исходящих соединений существенно снижают риск эксплуатации.
Источник: CVE Project (cvelistV5)