Veille sécuritéCMS & e-commerce
P4Non déterminée
CVE-2026-118172 concerne une SSRF via le mécanisme de webhooks de Strapi : le suivi de redirection ne revérifierait pas les adresses IP ni les limites réseau après redirection. La description signale également que des réponses non-2xx peuvent être renvoyées à l’appelant ; versions affectées et correctif non établis par les sources consultées.
Strapi
IdentifiantCVE-2026-118172
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118172
Analyse technique
SSRF semi-aveugle via le suivi des redirections du dispatcher de webhooks, avec risque d’accès à des services internes.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27T19:17:28.680Z, soit le 2026-10-27T21:17:28.680+02:00, dans la période demandée. La modification NVD du 2026-10-28 est postérieure à la période et n’est pas retenue comme événement.
ImpactUn attaquant pourrait amener Strapi à contacter des URL arbitraires, y compris des services internes, et provoquer le renvoi de certaines réponses.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-27T21:17:28.680+02:00
Action recommandée
Vérifier les versions déployées et suivre les avis ou notes de version Strapi pour le correctif ; examiner l’exposition des webhooks aux URL externes et aux redirections.
Sources
Priorisation DFS : P4 · 1 source(s).