# SSRF aveugle lors de l'envoi d'images en conversation privée

**URL:** <https://meta.discourse.org/t/blind-ssrf-on-sending-images-on-private-conversation/218165>\
**Category:** Support\
**Created:** [Février 14, 2022, 6:46 UTC](https://meta.discourse.org/t/blind-ssrf-on-sending-images-on-private-conversation/218165 "2022-02-14T18:46:18Z")\
**Posts on this page:** 1\
**Showing post:** 2

<div class="post-metadata">

**Author:** ![david](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/david/32/157490_2.png) [@david](https://meta.discourse.org/u/david)\
**Post date:** [Février 14, 2022, 6:51 UTC](https://meta.discourse.org/t/blind-ssrf-on-sending-images-on-private-conversation/218165/2 "2022-02-14T18:51:09Z")

</div>

Discourse récupère intentionnellement les images et les URL inclus dans les publications. Nous avons mis en place des protections pour garantir que ces requêtes ne puissent pas cibler des hôtes du réseau privé du serveur. La réception d’une requête GET vers un « jeton canari » ne signifie pas qu’il existe une vulnérabilité.

N’hésitez pas à orienter le chercheur vers [notre programme officiel HackerOne](https://hackerone.com/discourse). Notre politique couvre ce type de rapport :

> [@](#):
>
> ## Types de vulnérabilités non éligibles
> 
> - **SSRF** - Discourse inclut des fonctionnalités (par exemple, Onebox) qui permettent délibérément aux utilisateurs finaux d’initier des requêtes côté serveur vers des ressources externes. Les rapports SSRF ne seront considérés comme éligibles que s’ils permettent d’effectuer des requêtes vers des adresses IP d’une plage privée.

---

_[View the full topic](https://meta.discourse.org/t/blind-ssrf-on-sending-images-on-private-conversation/218165)._