Soft Serve es vulnerable a SSRF a través de sus Webhooks en github.com/charmbracelet/soft-serve

Un atacante que explote esta vulnerabilidad puede realizar solicitudes HTTP arbitrarias a través del servidor soft-serve. Esto permite el acceso a recursos internos, como archivos de configuración, bases de datos o incluso otros servicios en la red interna. La exposición de estos recursos puede resultar en la filtración de datos sensibles, la modificación de la configuración del sistema o incluso el control completo del servidor. La severidad crítica de esta vulnerabilidad se debe a la facilidad de explotación y el potencial de daño significativo que puede causar. Aunque no se han reportado casos de explotación pública, la naturaleza de SSRF la convierte en un objetivo atractivo para atacantes.

Organizations utilizing Soft Serve Webhooks in their CI/CD pipelines or other automated workflows are at risk. Specifically, deployments where Webhooks interact with internal APIs or cloud metadata services are particularly vulnerable. Shared hosting environments where Soft Serve is installed alongside other applications should also be considered at higher risk.

• go: Inspect Soft Serve configuration files for webhook URLs containing suspicious or unexpected domains.

grep -r 'webhook_url' /etc/soft-serve/*

• generic web: Monitor access logs for unusual outbound requests originating from the Soft Serve instance. Look for requests to internal IP addresses or unexpected external domains.

curl -v <soft_serve_instance_url>/webhooks | grep -i 'Host:'

• generic web: Check for exposed webhook endpoints that could be exploited.

curl -I <soft_serve_instance_url>/webhooks

1. 2025-11-17Disclosure

   disclosure

1. Reservado2025-11-05
2. Publicada2025-11-17
3. Modificada2026-03-03
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-64522 es actualizar la biblioteca soft-serve a la versión 0.11.1 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso de red desde donde se ejecuta soft-serve. Esto puede lograrse mediante reglas de firewall o proxies que bloqueen el acceso a recursos internos no autorizados. Además, se debe revisar la configuración de soft-serve para asegurarse de que no haya ninguna configuración que pueda facilitar la explotación de la vulnerabilidad. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que las solicitudes a recursos internos son bloqueadas o redirigidas correctamente.