11 ноября опубликовали обход защиты от SSRF в Gotenberg: адрес [::] блокировался, а [::%251] проходил и открывал сервисы на localhost. Причина не в Gotenberg, а в том, как netip.Prefix.Contains и IsUnspecified в Go обращаются с зоной IPv6, и такая же проверка живёт во многих сервисах с вебхуками и превью ссылок. Воспроизводим утечку на маленьком сервисе, чиним в три шага и закрываем тестом. Читать далее
Continue to Habr →You are being forwarded in 6s — stay on this page