CVE-2026-108602

ŚrednieCVSS 4.3

Opublikowano: 10/10/2026(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Helicone do wersji v2025.08.21-1 zawiera lukę SSRF w nadawcy webhooków Jawn. Uwierzytelnieni użytkownicy organizacji mogą tworzyć webhooki z publicznymi nazwami hostów, które rozwiązują się lub są rebindowane DNS do adresów pętli zwrotnej lub wewnętrznych, powodując ślepe żądania POST do wewnętrznych usług HTTPS.

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych usług, co może prowadzić do ujawnienia danych lub dalszej eksploatacji infrastruktury wewnętrznej.

Rekomendacja

Zaktualizuj Helicone do wersji nowszej niż v2025.08.21-1 i ogranicz możliwość tworzenia webhooków wskazujących na adresy prywatne.

Inne podatności w Helicone

CVE-2026-85178Wysokie
Funkcja VaultManager.getDecryptedProviderKeyById() w Helicone w punkcie końcowym GET /v1/vault/key/{providerKeyId} nie weryfikuje organizacji żądającego względem identyfikatora organizacji klucza przechowywanego w sejfie. Atakujący z uprawnieniami administratora lub właściciela w dowolnej organizacji mogą pobrać odszyfrowane poświadczenia dostawcy dla innych dzierżawców, w tym klucze API OpenAI, Anthropic i Bedrock w postaci jawnego tekstu.

Oryginalny opis (angielski, źródło NVD)

Helicone through v2025.08.21-1 contains a server-side request forgery vulnerability in the Jawn webhook sender that allows authenticated organization users to reach internal services by using hostnames resolving to private addresses. Attackers can create webhooks with public hostnames that resolve or DNS-rebind to loopback or internal addresses, causing blind POST requests to internal HTTPS services.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS