CVE-2026-92804
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Nango do wersji 0.70.4 nie waliduje wartości konfiguracji połączenia dostarczonych przez wywołującego, które są interpolowane do szablonów tokenów dostawcy i adresów URL proxy. Uwierzytelnieni atakujący mogą podać złośliwe wartości konfiguracji, aby kierować żądania serwera na adresy wewnętrzne lub endpointy metadanych chmury, potencjalnie eksfiltrując poświadczenia dostawcy.
Ocena ryzyka
Może prowadzić do wycieku poświadczeń dostawcy i dostępu do wewnętrznych zasobów sieciowych, co stanowi poważne zagrożenie dla bezpieczeństwa integracji i danych.
Rekomendacja
Zaktualizuj Nango do wersji nowszej niż 0.70.4. Waliduj i ograniczaj wartości konfiguracji połączeń oraz blokuj dostęp do wewnętrznych adresów i endpointów metadanych.
Inne podatności w Nango
Zobacz wszystkie- CVE-2026-102596Średnie
Nango to open-source platforma do łączenia agentów i produktów z API stron trzecich. Przed wersją 0.70.9, na kontach z włączonym RBAC przez plan z has_rbac=true, dwie prywatne trasy odczytu przepływu, GET /api/v1/integrations/:providerConfigKey/flows i GET /api/v1/flow/:flowName, stosują webAuth, ale pomijają can({ action: 'read', resource: 'flow', scopedBy: envScope }). Użytkownik tej samej drużyny z rolą development_full_access może zatem zażądać env=prod i odczytać metadane przepływu integracji produkcyjnej lub konfigurację nazwanego przepływu, mimo że jest odrzucany przez chronione trasy produkcyjne. Oba kontrolery używają res.locals.environment z uwierzytelnionego konta, więc problem omija granicę ról produkcyjnych, ale nie przekracza granic dzierżawcy. Problem naprawiono w wersji 0.70.9 i managed-1.5.11-0.70.8-aae30d044d7e229807d51a3957c212f3fb689e1a.
- CVE-2026-9317Wysokie
Podatność w Nango przed wersją 0.71.6 polega na braku uwierzytelnienia w serwerze tRPC runnera, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript poprzez wywołanie udostępnionej procedury start bez poświadczeń. Atakujący z dostępem sieciowym do portu runnera mogą wysyłać żądania do nieuwierzytelnionej procedury start, omijając niewymuszoną zmienną środowiskową RUNNER_SECRET_KEY, co prowadzi do zdalnego wykonania kodu w procesie runnera.
Oryginalny opis (angielski, źródło NVD)
Nango through 0.70.4 fails to validate caller-supplied connection configuration values interpolated into provider token and proxy URL templates. Authenticated attackers can supply malicious configuration values to direct server requests at internal addresses or cloud metadata endpoints, potentially exfiltrating provider credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS