CVE-2026-72598
ŚrednieCVSS 6.5Streszczenie
Podatność na server-side request forgery (SSRF) w Apioo Fusio 8.8.3. Uwierzytelnieni użytkownicy z rolą consumer mogą sprawić, że serwer wyśle żądania HTTP do wewnętrznych adresów sieciowych, rejestrując URL webhooka wskazujący na wewnętrzny host. Walidacja URL nie blokuje adresów IP ani nazw hostów.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania wewnętrznej sieci lub uzyskania dostępu do wewnętrznych usług, co może prowadzić do naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj Fusio do wersji, w której podatność została naprawiona. Wprowadź listę blokowanych adresów IP i hostów dla webhooków.
Oryginalny opis (angielski, źródło NVD)
A server-side request forgery vulnerability in Apioo Fusio 8.8.3 allows authenticated consumer-role users to make the server issue HTTP requests to internal network addresses by registering a webhook URL pointing to an internal host. The webhook registration endpoint validates URL syntax via FILTER_VALIDATE_URL but applies no IP or host denylist. When the registered event fires, the server issues an HTTP POST to the attacker-supplied internal URL.