CVE-2026-28680
CriticalSummary
Ghostfolio to oprogramowanie do zarządzania majątkiem typu open source. Przed wersją 2.245.0, atakujący mógł wykorzystać funkcję ręcznego importu aktywów do przeprowadzenia pełnego odczytu SSRF, co pozwalało na eksfiltrację wrażliwych metadanych chmurowych (IMDS) lub skanowanie wewnętrznych usług sieciowych.
Risk Assessment
Organizacja narażona jest na wyciek wrażliwych informacji oraz możliwość skanowania wewnętrznych zasobów, co może prowadzić do dalszych ataków na infrastrukturę.
Recommendation
Zaleca się aktualizację oprogramowania do wersji 2.245.0 lub nowszej, aby usunąć tę podatność.
Original NVD description (English source)
Ghostfolio is an open source wealth management software. Prior to version 2.245.0, an attacker can exploit the manual asset import feature to perform a full-read SSRF, allowing them to exfiltrate sensitive cloud metadata (IMDS) or probe internal network services. This issue has been patched in version 2.245.0.