CVE-2026-5936: SSRF via parâmetro de URL na Foxit PDF Services API
Uma falha de Server-Side Request Forgery (CWE-918) na Foxit PDF Services API permite que uma URL elaborada faça o servidor enviar requisições a destinos arbitrários. A NVD classifica a severidade como 9.8 (crítica) pelo CVSS, e o registro indica como afetadas as versões anteriores a 2026-04-07. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-5936 é uma fraqueza de Server-Side Request Forgery (SSRF), classificada como CWE-918, na Foxit PDF Services API. Segundo o registro, uma URL elaborada enviada ao serviço pode levar o servidor a emitir requisições HTTP para destinos escolhidos por quem faz a chamada.
Impacto
- O registro descreve a possibilidade de sondar serviços de rede internos, acessar endpoints normalmente inacessíveis de fora e contornar controles de acesso à rede.
- A divulgação de informações sensíveis e o comprometimento adicional do ambiente interno são descritos como possíveis consequências.
- A NVD atribui a pontuação 9.8 (crítica) pelo CVSS, com vetor indicando acesso pela rede, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Outro provedor citado no registro atribui 8.5.
Produtos e versões afetadas
- O registro lista como afetadas as versões da Foxit PDF Services API anteriores a 2026-04-07.
- O registro não informa versão corrigida. O boletim do fornecedor é a principal fonte para confirmar se 2026-04-07 é a versão com a correção.
Status de exploração
- O CISA KEV não lista esta CVE no registro, portanto essa fonte não confirma exploração ativa.
- Os campos SSVC do registro indicam exploração como nenhuma e automatizável como não. A probabilidade EPSS é 0.00344.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Consulte o boletim de segurança do fornecedor e inventarie todas as implantações da Foxit PDF Services API.
- Planeje a atualização para uma versão de 2026-04-07 ou posterior, após confirmar a correção com o fornecedor.
- Restrinja os destinos de saída que o serviço pode alcançar apenas aos necessários para a operação normal.
- Limite o acesso a partir do host do serviço a endpoints internos de metadados e de gerenciamento.
- Valide e restrinja quais URLs os clientes podem enviar.
Orientações de detecção
- Revise os logs do serviço e da rede em busca de requisições nas quais o serviço acesse endereços internos, de loopback ou outros endereços inesperados.
- Monitore conexões de saída do host da API para destinos fora dos fluxos de negócio normais.
Limitações das informações disponíveis
- O registro não identifica o parâmetro, o endpoint específico ou as pré-condições da falha.
- O registro não lista versão corrigida nem referência de patch além do boletim geral do fornecedor.
- O registro não contém detalhes de exploração, e esta análise não fornece nenhum.
Perguntas frequentes
Qual é o principal risco da CVE-2026-5936?
O registro descreve uma falha de SSRF que permite que uma URL elaborada faça o servidor enviar requisições a destinos arbitrários, podendo expor serviços internos ou informações sensíveis.
Quais versões são afetadas?
O registro indica como afetadas as versões da Foxit PDF Services API anteriores a 2026-04-07. Confirme a versão corrigida no boletim do fornecedor, pois o registro não informa versão corrigida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.