CVE-2026-50755
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Problem w DayuanJiang next-ai-draw-io w wersji 0.4.13 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez nagłówek X-Forwarded-For.
Ocena ryzyka
Ryzyko wycieku wrażliwych informacji, takich jak adresy IP lub dane konfiguracyjne, co może ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj next-ai-draw-io do najnowszej wersji oraz skonfiguruj walidację nagłówka X-Forwarded-For.
Inne podatności w next-ai-draw-io
Zobacz wszystkie- CVE-2026-73037Średnie
Next AI Draw.io w wersjach od 0.2.1 do 0.4.16 zawiera podatność na odzwierciedlony cross-site scripting w parametrze mcp, który jest interpolowany bez ucieczki do HTML i JavaScript. Atakujący mogą tworzyć złośliwe URL-e, aby wykonać dowolny JavaScript w kontekście origin localhost, umożliwiając eksfiltrację sesji diagramów i danych API.
- CVE-2026-72777Wysokie
Next AI Draw.io do wersji 0.4.16 zawiera podatność na atak typu server-side request forgery (SSRF) w punkcie końcowym POST /api/parse-url z powodu walidacji nazwy hosta, która sprawdza tylko wzorce ciągów bez rozwiązywania DNS. Nieuwierzytelnieni atakujący mogą podać nazwy hostów, które omijają walidację ciągów, ale rozwiązują się na adresy wewnętrzne, co pozwala im dotrzeć do dowolnych wewnętrznych usług HTTP i eksfiltrować odpowiedzi, w tym metadane chmury.
- CVE-2026-50758Wysokie
W DayuanJiang next-ai-draw-io 0.4.13 występuje podatność na Cross Site Scripting (XSS) poprzez parametr mcp, umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu.
- CVE-2026-50757Wysokie
W DayuanJiang next-ai-draw-io 0.4.13 występuje podatność na Directory Traversal, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez nex-ai-draw-io/mcp-server.
- CVE-2026-50756Wysokie
Problem w DayuanJiang next-ai-draw-io w wersji 0.4.13 pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez komponent x-ai-provider.
Oryginalny opis (angielski, źródło NVD)
An issue in DayuanJiang next-ai-draw-io 0.4.13 allows a remote attacker to obtain sensitive information via the X-Forwarded-For header value