CVE-2026-72552
WysokieCVSS 7.5Streszczenie
Podatność typu server-side request forgery w Dub (stan na 2026-07-10) pozwala nieuwierzytelnionym zdalnym atakującym na zmuszenie serwera do wysyłania żądań HTTP do dowolnych wewnętrznych lub zewnętrznych hostów przez endpoint metatags edge. Endpoint pobiera dowolny URL podany przez wywołującego bez listy zablokowanych i bez wymogu uwierzytelnienia. Atakujący może użyć tego do skanowania wewnętrznych usług lub eksfiltracji danych z endpointów metadanych chmury.
Ocena ryzyka
Ryzyko obejmuje możliwość skanowania wewnętrznej infrastruktury i kradzieży danych z usług chmurowych, co może prowadzić do naruszenia poufności i eskalacji ataków. Może to również umożliwić dostęp do wrażliwych zasobów wewnętrznych.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawki lub ograniczenie dostępu do endpointu metatags edge, np. przez wymaganie uwierzytelnienia i stosowanie listy dozwolonych adresów URL. Należy również monitorować ruch sieciowy pod kątem podejrzanych żądań.
Oryginalny opis (angielski, źródło NVD)
A server-side request forgery vulnerability in Dub as of 2026-07-10 allows unauthenticated remote attackers to make the server issue HTTP requests to arbitrary internal or external hosts via the metatags edge endpoint. The endpoint fetches any caller-supplied URL without applying a denylist or requiring authentication. An attacker can use this to scan internal services or exfiltrate data from cloud metadata endpoints.