CVE-2026-107460 - Apache Fesod (Incubating)：通过 DNS 重绑定绕过 UrlImageConverter SSRF 防护
关于 Apache Fesod (Incubating) 中服务端请求伪造（SSRF）漏洞 CVE-2026-107460 的安全公告。
漏洞描述
Apache Fesod (Incubating) fesod-sheet 2.0.2-incubating 版本中，UrlImageConverter 组件的服务端请求伪造（SSRF）防护机制可能被 DNS 重绑定绕过。当应用程序接收由攻击者控制的图片 URL 用于写入电子表格时，该转换器会先检查主机名解析出的 IP 地址，随后会建立一个新的独立连接，而该连接可能会再次对主机名进行解析。
控制该 URL 主机名 DNS 响应的攻击者，可在安全校验通过后使连接访问到受限制的内部或敏感地址。CVE-2026-49328 涵盖了 2.0.2-incubating 之前版本中的 SSRF 问题；本次漏洞则是针对 2.0.2-incubating 中防护措施的 DNS 重绑定绕过。
Apache Fesod (Incubating) 2.1.0-incubating 通过默认禁用远程 URL 图片抓取，并在启用该功能时强制要求配置精确的主机名白名单，从而解决了所报告的默认抓取场景问题。建议用户升级至 2.1.0-incubating。启用了远程 URL 图片抓取功能的应用程序，应仅将 DNS 和 HTTP 服务均值得信赖的主机名加入白名单。
受影响的模块与版本
Fesod Spreadsheet (fesod-sheet):
- 2.0.2-incubating
修复建议
建议受影响版本的用户尽快升级到对应的修复版本。
| 受影响版本 | 修复版本 |
|---|---|
| 2.0.2-incubating | 2.1.0-incubating |