CVE-2026-72591
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność typu Server-Side Request Forgery (SSRF) w aplikacji Koito do wersji v0.3.2 pozwala uwierzytelnionemu użytkownikowi na wykonanie przez serwer żądań HTTP do dowolnych hostów wewnętrznych lub zewnętrznych poprzez podanie spreparowanej wartości image_url w punkcie końcowym PATCH /apis/web/v1/album/{id}/image.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania sieci wewnętrznej, uzyskiwać dostęp do wewnętrznych usług lub wykonywać nieautoryzowane żądania w imieniu serwera, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj aplikację Koito do najnowszej wersji, jeśli dostępna jest poprawka. Dodatkowo ogranicz dostęp do punktu końcowego i waliduj adresy URL, blokując żądania do adresów wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
A server-side request forgery (SSRF) vulnerability in gabehf/Koito through v0.3.2 allows an authenticated user to make the server perform HTTP requests to arbitrary internal or external hosts by supplying a crafted image_url value in the PATCH /apis/web/v1/album/{id}/image endpoint.