Vulnerabilidad en prebid-server de prebid (CVE-2026-54735)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

29/07/2026

Última modificación:

23/10/2026

Descripción

Prebid Server es una solución de código abierto para ejecutar subastas de publicidad en tiempo real en la nube. Antes de la versión 4.4.0, ciertos adaptadores de postor en Prebid Server interpolan parámetros proporcionados por el usuario en URLs de solicitudes salientes sin validar correctamente los valores de host y subdominio, permitiendo que parámetros de solicitud de puja manipulados causen solicitudes del lado del servidor a destinos no deseados y potencialmente expongan servicios de red internos o puntos finales de servidor sensibles. Este problema está solucionado en la versión 4.4.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 10.00 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto