CVE-2026-63769

WysokieCVSS 7.7

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Huginn przed wersją 2026.09.09 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w metodzie fetch_url klasy ScenarioImport, która umożliwia uwierzytelnionym użytkownikom wykonywanie dowolnych żądań HTTP poprzez przesłanie spreparowanych adresów URL. Atakujący mogą badać wewnętrzne usługi sieciowe, skanować porty na podstawie sygnatur błędów oraz uzyskiwać dostęp do punktów końcowych metadanych chmury w celu kradzieży poufnych poświadczeń.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do wewnętrznych zasobów sieciowych, wykrywanie usług oraz kradzież poświadczeń z metadanych chmury, co może prowadzić do poważnego naruszenia bezpieczeństwa.

Rekomendacja

Należy natychmiast zaktualizować Huginn do wersji 2026.09.09 lub nowszej oraz ograniczyć dostęp do funkcji importu scenariuszy tylko dla zaufanych użytkowników.

Inne podatności w Huginn

CVE-2026-123094Średnie
Huginn przed wersją 2026.11.05 zawiera podatność na przechowywany cross-site scripting w helperze service_label, który oznacza nieescapowane nazwy wyświetlane usług OAuth jako html_safe. Uwierzytelniony atakujący może połączyć konto OAuth ze spreparowanym pseudonimem, nazwą lub adresem e-mail i udostępnić je globalnie, wykonując JavaScript, gdy ofiary przypiszą je do Agentów i je wyświetlą.

Oryginalny opis (angielski, źródło NVD)

Huginn before 2026.09.09 contains a server-side request forgery vulnerability in the fetch_url method of ScenarioImport that allows authenticated users to make arbitrary HTTP requests by submitting crafted URLs. Attackers can probe internal network services, enumerate ports via error signatures, and access cloud metadata endpoints to retrieve sensitive credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS