CVE-2026-39383Gotenberg在8.29.1版本中存在一个服务端请求伪造（SSRF）漏洞。由于默认配置下的URL过滤机制失效，未经身份验证的远程攻击者可通过构造恶意请求，利用`Gotenberg-Webhook-Url`请求头强制服务器向任意内部或外部目标发起HTTP POST请求。这是一个盲SSRF漏洞，攻击者可利用此漏洞探测内网基础设施，并利用重试机制放大探测效果。
该漏洞源于Gotenberg `filter.go`文件中的`FilterDeadline`函数逻辑缺陷。该函数本用于限制出站URL，但在默认配置下（允许列表和拒绝列表均为空），函数无条件返回nil，导致对任何URL的校验都通过。攻击者无需认证即可在网络可达的情况下，在请求头中注入任意URL。当Gotenberg完成文档转换后，会向攻击者指定的URL发送POST请求。由于这是盲SSRF，服务器仅检查响应状态码而不返回响应体。攻击者可通过观察错误回调是否触发或利用HTTP客户端最多4次自动重试带来的时间延迟，来推断内网服务状态或探测云元数据端点。