CVE-2026-9372

WysokieCVSS 7.3

Opublikowano: 24/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

W ItzCrazyKns Vane do wersji 1.12.1 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w pliku src/app/api/providers/route.ts komponentu Model Provider API. Manipulacja argumentem baseURL umożliwia zdalne wykonanie ataku.

Ocena ryzyka

Atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia poufnych danych lub dalszych ataków na infrastrukturę.

Rekomendacja

Należy natychmiast zaktualizować Vane do wersji zawierającej poprawkę. Jeśli nie jest dostępna, należy ograniczyć dostęp do API i zweryfikować poprawność argumentu baseURL.

Inne podatności w Vane

CVE-2026-9371Średnie
W komponencie API Vane do wersji 1.12.1 wykryto brak uwierzytelniania w pliku route.ts. Atak może być przeprowadzony zdalnie, ale jest trudny do wykonania. Exploit został ujawniony publicznie.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in ItzCrazyKns Vane up to 1.12.1. This vulnerability affects unknown code of the file src/app/api/providers/route.ts of the component Model Provider API. This manipulation of the argument baseURL causes server-side request forgery. Remote exploitation of the attack is possible. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.