CVE-2026-91079
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Huly Platform do wersji 0.7.426 zawiera podatność server-side request forgery w usłudze drukowania z powodu braku walidacji listy dozwolonych nazw hostów. Uwierzytelnieni członkowie przestrzeni roboczej mogą podać dowolne adresy URL do punktu końcowego drukowania, które Puppeteer renderuje i zwraca jako pliki PDF lub obrazy do pobrania, umożliwiając dostęp do wewnętrznych usług metadanych i hostów sieciowych.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do wewnętrznych usług i zasobów sieciowych, w tym metadanych chmury, co może prowadzić do wycieku danych uwierzytelniających. Ryzyko jest szczególnie wysokie w środowiskach chmurowych.
Rekomendacja
Zaktualizuj Huly Platform do wersji nowszej niż 0.7.426, która zawiera walidację listy dozwolonych hostów. Do czasu aktualizacji ogranicz dostęp do punktu końcowego drukowania oraz segmentuj sieć, aby uniemożliwić dostęp do usług metadanych.
Inne podatności w Huly Platform
Zobacz wszystkie- CVE-2026-56769Wysokie
Platforma Huly do wersji 0.7.423 zawiera uwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /import front pod. Umożliwia ona użytkownikom obszaru roboczego wykonywanie dowolnych żądań serwerowych poprzez dostarczenie złośliwych adresów URL.
- CVE-2026-12213Średnie
Podatność w hcengineering Huly Platform do wersji 0.7.0. Funkcja getAccountInfo w pliku server/account/src/operations.ts (komponent User Information Handler) ma nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-12212Średnie
W hcengineering Huly Platform do wersji 0.7.0 w funkcji getMailboxSecret pliku server/account/src/operations.ts (komponent RPC Interface) stwierdzono nieprawidłową kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5623Średnie
Platforma Huly (hcengineering) w wersji 0.7.382 zawiera podatność na SSRF w punkcie końcowym Import w pliku server/front/src/index.ts. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Huly Platform through 0.7.426 contains a server-side request forgery vulnerability in the print service due to missing hostname allowlist validation. Authenticated workspace members can supply arbitrary URLs to the print endpoint, which Puppeteer renders and returns as downloadable PDFs or images, enabling access to internal metadata services and network hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS