CVE-2026-82638
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
jina-ai reader wyłącza ochronę przed adresami prywatnymi poza wdrożeniami Google Cloud, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataków SSRF (Server-Side Request Forgery). Atakujący mogą podać publicznie rozwiązywalne nazwy hostów mapujące na adresy prywatne, aby uzyskać metadane chmury i treści wewnętrznych usług.
Ocena ryzyka
Ryzyko ujawnienia metadanych chmury i wewnętrznych usług, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.
Rekomendacja
Zaktualizuj jina-ai reader do wersji, która przywraca ochronę przed adresami prywatnymi we wszystkich środowiskach. Dodatkowo ogranicz dostęp do usługi tylko dla zaufanych klientów.
Inne podatności w jina-ai reader
Zobacz wszystkie- CVE-2026-85699Wysokie
jina-ai reader zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), gdzie walidacja URL jest wykonywana tylko dla początkowego żądania, ale nie jest ponownie stosowana do kolejnych przekierowań. Atakujący mogą stworzyć publiczny URL, który przekierowuje do wewnętrznych adresów sieciowych lub punktów końcowych metadanych chmury, umożliwiając serwerowi pobranie i zwrócenie treści odpowiedzi celu atakującemu.
- CVE-2026-18647Wysokie
Podatność w jina-ai reader do wersji 1574bfd380d249c86c82db4dace0d9c8fe17e2b1 dotyczy funkcji isValidTLD w pliku /backend/functions/src/cloud-functions/crawler.ts komponentu Crawler/Puppeteer. Manipulacja prowadzi do fałszowania żądań po stronie serwera (SSRF). Zdalne wykorzystanie ataku jest możliwe, a exploit został ujawniony publicznie.
Oryginalny opis (angielski, źródło NVD)
jina-ai reader disables its private-address guard outside Google Cloud deployments, allowing unauthenticated attackers to perform server-side request forgery. Attackers can supply publicly resolvable hostnames mapping to private addresses to retrieve cloud metadata and internal service content.