Jellysweep utilise des données non contrôlées dans l'endpoint de l'API de cache d'image dans github.com/jon4hz/jellysweep

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de forcer le serveur jellysweep à effectuer des requêtes vers des ressources arbitraires, potentiellement internes à l'infrastructure. Cela pourrait inclure l'accès à des services non exposés publiquement, la lecture de fichiers sensibles, ou même l'exécution de commandes sur le serveur si des configurations incorrectes sont en place. Le risque est amplifié si jellysweep est déployé dans un environnement où il a accès à des données critiques ou à des services sensibles. Un attaquant pourrait, par exemple, scanner le réseau interne à la recherche de services vulnérables ou compromettre d'autres systèmes en utilisant jellysweep comme point de pivot.

Organizations that rely on jellysweep for image processing or caching are at risk. This includes developers and system administrators who manage jellysweep deployments. Environments where jellysweep is exposed to untrusted external networks are particularly vulnerable.

• go / server: Monitor application logs for unusual API requests related to image caching. Look for requests with excessively large payloads or unexpected data types.

journalctl -u jellysweep -f | grep "image cache API" 

• generic web: Use curl to test the image cache API endpoint with various payloads, including very large files or malformed data, to observe any abnormal behavior or resource consumption.

curl -F "image=@large_file.jpg" http://<jellysweep_server>/image_cache_api

1. 2025-11-17Disclosure

   disclosure

1. Réservé2025-10-28
2. Publiée2025-11-17
3. Modifiée2026-03-03
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour jellysweep vers la version 0.13.0, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de restreindre l'accès à l'API de cache d'images en utilisant un pare-feu ou un proxy inverse. Configurez des règles de pare-feu pour bloquer les requêtes sortantes vers des adresses IP ou des domaines non autorisés. Envisagez également de désactiver temporairement l'API de cache d'images si elle n'est pas essentielle au fonctionnement de jellysweep. Après la mise à jour, vérifiez que l'API de cache d'images est correctement configurée et qu'elle ne permet pas d'accès non autorisé.