CVE-2026-59702
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Repomix zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym POST /api/pack, która pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych żądań wychodzących. Punkt końcowy nieprawidłowo waliduje adresy URL http://, https:// i file:// przed przekazaniem ich do git clone, umożliwiając atakującym dostęp do prywatnych adresów sieciowych, usług metadanych GCP lub ścieżek lokalnego systemu plików.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wewnętrznych zasobów sieciowych, wyciek wrażliwych danych z usług metadanych chmury (np. GCP) oraz odczyt lokalnych plików systemowych, co może prowadzić do eskalacji uprawnień lub naruszenia poufności.
Rekomendacja
Należy natychmiast zaktualizować repomix do wersji, która zawiera poprawkę walidacji URL-i w punkcie końcowym POST /api/pack. Do czasu aktualizacji zaleca się ograniczenie dostępu do tego punktu końcowego za pomocą zapory sieciowej lub uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
repomix contains a server-side request forgery vulnerability in the POST /api/pack endpoint that allows unauthenticated attackers to make arbitrary outbound requests. The endpoint fails to properly validate http://, https://, and file:// URLs before passing them to git clone, enabling attackers to access private network addresses, GCP metadata services, or local filesystem paths.