CVE-2026-62314

ŚrednieCVSS 5.8

Opublikowano: 15/07/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 17/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Podatność w Anubis Web AI Firewall Utility od wersji 1.22.0 do 1.26.0-pre1 pozwala atakującemu na ominięcie wyzwania Anubis poprzez manipulację nagłówkiem X-Original-URI. Funkcja PathChecker.Check() ufała kontrolowanemu przez klienta nagłówkowi przed dopasowaniem do ścieżki URL, co umożliwiało wykorzystanie reguł ALLOW dla wzorców takich jak ^/\.well-known/.*$.

Ocena ryzyka

Atakujący może ominąć mechanizm ochrony przed botami, uzyskując nieautoryzowany dostęp do chronionych zasobów upstream, co zwiększa ryzyko skrobania danych i ataków DDoS.

Rekomendacja

Należy natychmiast zaktualizować Anubis do wersji 1.26.0-pre1 lub nowszej, która zawiera poprawkę usuwającą zaufanie do nagłówka X-Original-URI.

Inne podatności w Anubis

CVE-2025-64716Średnie
Anubis, narzędzie Web AI Firewall, w wersjach przed 1.23.0 nie przeprowadzało walidacji adresu URL przekierowania przy uwierzytelnianiu podżądań, umożliwiając przekierowanie użytkownika do dowolnego schematu URL. Choć większość nowoczesnych przeglądarek blokuje przekierowania do adresów `javascript:`, w niektórych przypadkach może to wywołać niebezpieczne zachowanie. Problem naprawiono w wersji 1.23.0.

Oryginalny opis (angielski, źródło NVD)

Anubis is a Web AI Firewall Utility that challenges users' connections in order to protect upstream resources from scraper bots. From 1.22.0 until 1.26.0-pre1, lib/policy/checker.go PathChecker.Check() trusted the client-controlled X-Original-URI header before matching r.URL.Path, allowing an HTTP client to match default data/common/keep-internet-working.yaml ALLOW rules such as ^/\.well-known/.*$ and bypass the Anubis challenge. This issue is fixed in version 1.26.0-pre1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS