CVE-2026-72777
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Next AI Draw.io do wersji 0.4.16 zawiera podatność na atak typu server-side request forgery (SSRF) w punkcie końcowym POST /api/parse-url z powodu walidacji nazwy hosta, która sprawdza tylko wzorce ciągów bez rozwiązywania DNS. Nieuwierzytelnieni atakujący mogą podać nazwy hostów, które omijają walidację ciągów, ale rozwiązują się na adresy wewnętrzne, co pozwala im dotrzeć do dowolnych wewnętrznych usług HTTP i eksfiltrować odpowiedzi, w tym metadane chmury.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych, w tym metadanych chmury, co może prowadzić do kradzieży danych uwierzytelniających i naruszenia infrastruktury.
Rekomendacja
Zaleca się aktualizację Next AI Draw.io do wersji z poprawką oraz wdrożenie walidacji DNS i filtrowania adresów IP w celu zapobiegania SSRF.
Oryginalny opis (angielski, źródło NVD)
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST /api/parse-url endpoint due to hostname validation that only checks string patterns without DNS resolution. Unauthenticated attackers can supply hostnames that bypass string validation but resolve to internal addresses, allowing them to reach arbitrary internal HTTP services and exfiltrate responses including cloud metadata.