CVE-2026-72566

WysokieCVSS 7.7

Opublikowano: 10/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Podatność typu server-side request forgery (SSRF) w automatisch do commita 41f3c56 pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami i uprawnieniem 'manage Flow' na zmuszenie serwera do pobierania dowolnych adresów URL i odczytania pełnej treści odpowiedzi za pomocą akcji Custom Request w aplikacji HTTP Request.

Ocena ryzyka

Atakujący może wykorzystać serwer do skanowania sieci wewnętrznej, uzyskiwać dostęp do wewnętrznych usług lub wykonywać nieautoryzowane żądania, co może prowadzić do naruszenia poufności danych.

Rekomendacja

Zaktualizuj automatisch do wersji z poprawką. Dodatkowo ogranicz uprawnienia 'manage Flow' tylko do zaufanych użytkowników i waliduj adresy URL, blokując dostęp do adresów wewnętrznych.

Inne podatności w automatisch

CVE-2026-81033Średnie
Automatisch ujawnia, czy adres e-mail jest zarejestrowany, poprzez odpowiedź na żądanie zapomnianego hasła. Trasa jest dostępna bez uwierzytelnienia i bez ograniczeń szybkości, co pozwala na enumerację kont.

Oryginalny opis (angielski, źródło NVD)

A server-side request forgery (SSRF) vulnerability in automatisch through commit 41f3c56 allows a low-privileged authenticated user with 'manage Flow' permission to make the server fetch arbitrary URLs and retrieve the full response body via the HTTP Request app's Custom Request action.