Vulnerabilidad en Eclipse CSI - PIA de Eclipse Foundation (CVE-2026-18353)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-918
Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
30/07/2026
Última modificación:
23/10/2026
Descripción
El endpoint “POST /v1/upload/sbom” de PIA acepta un JWT de tipo Bearer y verifica su campo “iss” no verificado contra una lista blanca de emisores utilizando “urlparse” de Python antes de realizar el descubrimiento OIDC con “requests”. Debido a que “urlparse” y “requests”/“urllib3” analizan una cadena de autoridad que contiene una barra invertida (por ejemplo, “https://attacker-host\@ci.eclipse.org/”) en nombres de host diferentes, un atacante puede crear un emisor que pasa la verificación de la lista blanca pero dirige a “requests” - y posteriormente a “urllib.request.urlopen” para la recuperación de JWKS - a conectarse a un host, puerto y esquema arbitrarios elegidos por el atacante.
Impacto
Puntuación base 4.0
8.80
Gravedad 4.0
ALTA