A weakness has been identified in Appwrite up to 2.3.0. This vulnerability affects the function PublicHostname of the file src/Appwrite/Platform/Modules/Avatars/Http/Screenshots/Get.php of the component Browser Screenshot Service. This manipulation of the argument url causes server-side request forgery.
The attack can be initiated remotely. Upgrading to version 2.4.0 is able to resolve this issue. Patch name: 393255e7302ae5503331d45802e2eee01c6a47fe.
You should upgrade the affected component.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
n/a:appwrite
Ссылки 9
https://vuldb.com/vuln/416552
VDB-416552 | Appwrite Browser Screenshot Service Get.php PublicHostname server-side request forgery
https://vuldb.com/vuln/416552/cti
VDB-416552 | CTI Indicators (IOB, IOC, IOA)
https://vuldb.com/cve/CVE-2026-108770
CVE-2026-108770 | CVE Analysis and Report
https://vuldb.com/submit/958017
Submit #958017 | Appwrite source revision 3fa2e2d; affected releases to be confirmed Server-Side Request Forgery
https://github.com/godzeo/vulhub/issues/2
NVD
https://github.com/appwrite/appwrite/pull/13995
NVD
https://github.com/appwrite/appwrite/commit/393255e7302ae5503331d45802e2eee01c6…
NVD
https://github.com/appwrite/appwrite/releases/tag/2.4.0
NVD
https://github.com/appwrite/appwrite/
NVD