CVE-2026-5623
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Platforma Huly (hcengineering) w wersji 0.7.382 zawiera podatność na SSRF w punkcie końcowym Import w pliku server/front/src/index.ts. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wysyłać żądania do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia wrażliwych danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację platformy Huly do najnowszej wersji oraz wdrożenie walidacji URL-i w punkcie końcowym Import.
Inne podatności w Huly Platform
Zobacz wszystkie- CVE-2026-91079Wysokie
Huly Platform do wersji 0.7.426 zawiera podatność server-side request forgery w usłudze drukowania z powodu braku walidacji listy dozwolonych nazw hostów. Uwierzytelnieni członkowie przestrzeni roboczej mogą podać dowolne adresy URL do punktu końcowego drukowania, które Puppeteer renderuje i zwraca jako pliki PDF lub obrazy do pobrania, umożliwiając dostęp do wewnętrznych usług metadanych i hostów sieciowych.
- CVE-2026-56769Wysokie
Platforma Huly do wersji 0.7.423 zawiera uwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /import front pod. Umożliwia ona użytkownikom obszaru roboczego wykonywanie dowolnych żądań serwerowych poprzez dostarczenie złośliwych adresów URL.
- CVE-2026-12213Średnie
Podatność w hcengineering Huly Platform do wersji 0.7.0. Funkcja getAccountInfo w pliku server/account/src/operations.ts (komponent User Information Handler) ma nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-12212Średnie
W hcengineering Huly Platform do wersji 0.7.0 w funkcji getMailboxSecret pliku server/account/src/operations.ts (komponent RPC Interface) stwierdzono nieprawidłową kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in hcengineering Huly Platform 0.7.382. This affects an unknown part of the file server/front/src/index.ts of the component Import Endpoint. Such manipulation leads to server-side request forgery. The attack can be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS