CVE-2026-47356

Terrascan v1.18.3 및 이전 버전은 서버 모드에서 실행 시 파일 스캔 엔드포인트(POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan)의 webhook_url 매개변수를 통한 서버측 요청 위조(SSRF)에 취약합니다. 인증되지 않은 원격 공격자는 webhook_url 멀티파트 양식 매개변수로 임의의 URL을 제공할 수 있습니다. 업로드된 파일을 스캔한 후 Terrascan은 전체 스캔 결과를 JSON 본문으로 포함하는 공격자 제어 URL에 HTTP POST 요청을 보냅니다. 공격자가 제공한 webhook_token은 Authorization 헤더에 Bearer 토큰으로 전달됩니다. 재시도 가능한 HTTP 클라이언트는 실패 시 최대 10번까지 재시도합니다. 이는 인증 없이 0.0.0.0에 바인딩되는 서버 모드(terrascan 서버)에서 terrascan을 실행하는 배포에 영향을 미칩니다. 참고: Terrascan은 2023년 8월에 보관되었으며 패치는 출시되지 않습니다.