Title: Terrascan de Tenable, Description: Terrascan v1.18.3 y anteriores son vulnerables a la Falsificación de Petición del Lado del Servidor (SSRF) a través del parámetro webhook_url en el endpoint de escaneo de archivos (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) cuando se ejecuta en modo servidor. Un atacante remoto no autenticado puede proporcionar una URL arbitraria como el parámetro de formulario multipart webhook_url. Después de escanear el archivo subido, Terrascan envía una petición HTTP POST a la URL controlada por el atacante que contiene los resultados completos del escaneo como un cuerpo JSON, con el webhook_token proporcionado por el atacante reenviado como un token Bearer en el encabezado Authorization. El cliente HTTP reintentable reintenta hasta 10 veces en caso de fallo. Esto afecta a las implementaciones que ejecutan terrascan en modo servidor (terrascan server), que se enlaza a 0.0.0.0 sin autenticación. Nota: Terrascan fue archivado en agosto de 2023 y no se lanzará ningún parche.

{"timestamp":"2026-05-19T17:10:14.189839Z","id":"CVE-2026-47356","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"tenable","product":"Terrascan","defaultStatus":"affected","versions":[{"version":"0","lessThanOrEqual":"1.18.3","versionType":"semver","status":"affected"}]}]

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

OR
          *cpe:2.3:a:tenable:terrascan:*:*:*:*:*:*:*:* versions up to (including) 1.18.3

Tenable Network Security, Inc.: https://github.com/tenable/terrascan Types: Product

Terrascan v1.18.3 and prior are vulnerable to Server-Side Request Forgery (SSRF) via the webhook_url parameter in the file scan endpoint (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) when running in server mode. An unauthenticated remote attacker can supply an arbitrary URL as the webhook_url multipart form parameter. After scanning the uploaded file, Terrascan sends an HTTP POST request to the attacker-controlled URL containing the full scan results as a JSON body, with the attacker-supplied webhook_token forwarded as a Bearer token in the Authorization header. The retryable HTTP client retries up to 10 times on failure. This affects deployments running terrascan in server mode (terrascan server), which binds to 0.0.0.0 with no authentication. Note: Terrascan was archived in August 2023 and no patch will be released.

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CWE-918

https://github.com/tenable/terrascan