CVE-2026-59101

ŚrednieCVSS 5.8

Opublikowano: 02/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

AutoBangumi przed wersją 3.2.8 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala nieuwierzytelnionym zdalnym atakującym na skanowanie wewnętrznych usług sieciowych poprzez podanie dowolnych wartości hosta w niezabezpieczonym punkcie końcowym konfiguracji. Atakujący mogą wysyłać żądania do punktu końcowego POST /api/v1/setup/test-downloader podczas okna początkowej konfiguracji, powodując, że serwer wysyła żądania HTTP GET do wewnętrznych lub zastrzeżonych adresów i ujawnia informacje poprzez komunikaty o błędach połączenia.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku informacji o infrastrukturze i potencjalnego dalszego ataku na wewnętrzne usługi.

Rekomendacja

Zaleca się natychmiastową aktualizację AutoBangumi do wersji 3.2.8 lub nowszej, która usuwa tę podatność. Dodatkowo należy ograniczyć dostęp do punktu końcowego konfiguracji tylko dla zaufanych sieci.

Inne podatności w AutoBangumi

CVE-2026-58466Krytyczne
AutoBangumi przed wersją 3.2.8 zawiera zakodowane na stałe domyślne dane uwierzytelniające, które pozwalają nieuwierzytelnionym atakującym zalogować się jako administrator przy użyciu publicznie znanych domyślnych poświadczeń. Poświadczenia te są ustawiane podczas uruchamiania przez funkcję add_default_user() w module bazy danych użytkowników, gdy tabela użytkowników jest pusta.

Oryginalny opis (angielski, źródło NVD)

AutoBangumi before 3.2.8 contains a server-side request forgery (SSRF) vulnerability that allows unauthenticated remote attackers to probe internal network services by supplying arbitrary host values to an unprotected setup endpoint. Attackers can send requests to the POST /api/v1/setup/test-downloader endpoint during the initial setup window, causing the server to issue HTTP GET requests to internal or reserved addresses and leak information through echoed connection-error messages.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS