@steipete/summarize vulnerable to SSRF via podcast:transcript URL fetch
Summarize before 0.17.0 contains a server-side request forgery vulnerability that allows attackers who control a podcast RSS feed to direct the host to fetch transcript content from loopback addresses, link-local addresses, RFC 1918 private ranges, or other reserved destinations by supplying malicious podcast:transcript URL values. Attackers can bypass protections through DNS rebinding and redirect-based techniques, as redirect targets are not revalidated and hostnames are not resolved before request dispatch, exposing internal service responses through the summarization flow.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @steipete/summarize | < 0.17.0 | 0.17.0 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-53782
- https://github.com/steipete/summarize/pull/239
- https://github.com/steipete/summarize/commit/3c5522440c4833dde033e226baa39e6dda1dfc75
- https://github.com/steipete/summarize
- https://github.com/steipete/summarize/releases/tag/v0.17.0
- https://www.vulncheck.com/advisories/summarize-ssrf-via-podcast-transcript-url-fetch
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N- Słabość (CWE)
CWE-918- Platforma
- npm
- Paczka
@steipete/summarize- Ujawniono
- 11.06.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-3vx2-vqx8-jxfg - CC BY 4.0
Historia podatności: @steipete/summarize
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 05.2026 06.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 4
- Niska 1
Ujawnienia w latach
- 2026: 6
-
@steipete/summarize vulnerable to SSRF via podcast:transcript URL fetch ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.