CVE-2026-50757
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W DayuanJiang next-ai-draw-io 0.4.13 występuje podatność na Directory Traversal, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez nex-ai-draw-io/mcp-server.
Ocena ryzyka
Atakujący może zdalnie odczytać dowolne pliki na serwerze i potencjalnie wykonać dowolny kod, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj next-ai-draw-io do najnowszej wersji, która zawiera poprawkę. Do czasu aktualizacji ogranicz dostęp do komponentu mcp-server za pomocą zapory sieciowej lub uwierzytelniania.
Inne podatności w next-ai-draw-io
Zobacz wszystkie- CVE-2026-50755Krytyczne
Problem w DayuanJiang next-ai-draw-io w wersji 0.4.13 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez nagłówek X-Forwarded-For.
- CVE-2026-73037Średnie
Next AI Draw.io w wersjach od 0.2.1 do 0.4.16 zawiera podatność na odzwierciedlony cross-site scripting w parametrze mcp, który jest interpolowany bez ucieczki do HTML i JavaScript. Atakujący mogą tworzyć złośliwe URL-e, aby wykonać dowolny JavaScript w kontekście origin localhost, umożliwiając eksfiltrację sesji diagramów i danych API.
- CVE-2026-72777Wysokie
Next AI Draw.io do wersji 0.4.16 zawiera podatność na atak typu server-side request forgery (SSRF) w punkcie końcowym POST /api/parse-url z powodu walidacji nazwy hosta, która sprawdza tylko wzorce ciągów bez rozwiązywania DNS. Nieuwierzytelnieni atakujący mogą podać nazwy hostów, które omijają walidację ciągów, ale rozwiązują się na adresy wewnętrzne, co pozwala im dotrzeć do dowolnych wewnętrznych usług HTTP i eksfiltrować odpowiedzi, w tym metadane chmury.
- CVE-2026-50758Wysokie
W DayuanJiang next-ai-draw-io 0.4.13 występuje podatność na Cross Site Scripting (XSS) poprzez parametr mcp, umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu.
- CVE-2026-50756Wysokie
Problem w DayuanJiang next-ai-draw-io w wersji 0.4.13 pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez komponent x-ai-provider.
Oryginalny opis (angielski, źródło NVD)
Directory Traversal vulnerability in DayuanJiang next-ai-draw-io 0.4.13 allowsa remote attacker to execute arbitrary code via the nex-ai-draw-io/mcp-server