CVE-2026-63731
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność SSRF (Server-Side Request Forgery) w HyperDX przed wersją 2.31.0. Uwierzytelnieni członkowie zespołu mogą kierować serwer do dowolnych wewnętrznych miejsc poprzez podanie kontrolowanego parametru hosta w punkcie końcowym testu proxy ClickHouse, bez walidacji URL lub listy dozwolonych. Atakujący mogą wykorzystać odpowiedzi błędów do ujawnienia odpowiedzi wewnętrznych usług.
Ocena ryzyka
Ryzyko obejmuje dostęp do wewnętrznych API, usług kontenerowych i punktów końcowych metadanych dostawcy chmury, co może prowadzić do wycieku wrażliwych danych i dalszej kompromitacji infrastruktury.
Rekomendacja
Zaleca się aktualizację HyperDX do wersji 2.31.0 lub nowszej oraz wdrożenie walidacji URL i listy dozwolonych dla parametru hosta.
Inne podatności w HyperDX
Zobacz wszystkie- CVE-2026-82279Wysokie
HyperDX do wersji 1.10.1 nie egzekwuje kontroli dostępu opartej na rolach w punktach końcowych zarządzania zespołem, co pozwala każdemu członkowi zespołu na wykonywanie działań administracyjnych. Atakujący mogą usuwać członków zespołu, w tym właścicieli, rotować klucze API i zmieniać nazwy zespołów, wysyłając żądania do punktów końcowych PATCH /team/apiKey, PATCH /team/name i DELETE /team/member.
- CVE-2026-63730Średnie
HyperDX przed wersją 2.31.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Uwierzytelnieni członkowie zespołu mogą nakazać serwerowi wykonanie żądań do dowolnych wewnętrznych zasobów sieciowych, podając kontrolowany przez atakującego adres URL do punktu końcowego testowania webhooków. Atakujący mogą ominąć niewystarczającą walidację listy zablokowanych nazw hostów w obsłudze webhooków, aby skanować wewnętrzne usługi, komunikować się z wewnętrznymi kontenerami lub uzyskać dostęp do metadanych instancji chmury, w tym punktów końcowych dostawcy.
Oryginalny opis (angielski, źródło NVD)
HyperDX before 2.31.0 contains a server-side request forgery vulnerability that allows authenticated team members to direct the server to arbitrary internal destinations by supplying a caller-controlled host parameter to the ClickHouse proxy test endpoint with no URL validation or allowlist enforcement. Attackers can exploit the reflected error responses from the endpoint to disclose internal service response bodies, enabling access to internal APIs, container services, and cloud provider metadata endpoints.