Vulnerabilidad · Publicado 25/08/2026
Ech0 versiones anteriores a 4.7.3 contiene una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) en la función fetchPeerConnectInfo que permite a atacantes autenticados acceder a servicios internos y endpoints de metadatos en la nube mediante solicitudes HTTP no validadas. Esta falla afecta principalmente a infraestructuras cloud híbridas en empresas mexicanas y latinoamericanas que utilicen este software para operaciones de conectividad entre pares.
Ech0 before 4.7.3 contains a server-side request forgery vulnerability in the fetchPeerConnectInfo function that uses unvalidated HTTP requests instead of safe request methods with URL validation. Authenticated attackers can supply arbitrary URLs to access internal services and cloud metadata endpoints by triggering connection health checks or peer connection operations.
Score: 7.7/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
CWE-918
Publicado en NIST NVD.