CVE-2026-9813
KrytyczneCVSS 9.9Streszczenie
FlowIntel w wersjach do 3.3.0 zawiera podatność typu server-side request forgery (SSRF) w funkcjonalności próby zewnętrznego adresu URL w pliku app/case/task.py. Atakujący, który może przesłać zewnętrzny adres URL, może spowodować, że serwer aplikacji wyśle żądanie HTTP HEAD do wskazanej przez niego lokalizacji.
Ocena ryzyka
Z powodu niewystarczającej walidacji schematu URL i rozwiązanej docelowej adresacji, podatne wersje mogą umożliwić żądania do zasobów sieciowych, które są zarezerwowane lub ograniczone, co potencjalnie pozwala na interakcję z wewnętrznymi usługami lub punktami końcowymi metadanych w chmurze z kontekstu sieci serwera.
Rekomendacja
Zaleca się aktualizację FlowIntel do wersji 3.3.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy wprowadzić odpowiednie mechanizmy walidacji adresów URL w aplikacji.
Oryginalny opis (angielski, źródło NVD)
FlowIntel up to version 3.3.0 contains a server-side request forgery (SSRF) vulnerability in the external reference URL probe functionality in app/case/task.py. An attacker who can submit an external reference URL can cause the application server to issue an HTTP HEAD request to an attacker-specified destination. Due to insufficient validation of the URL scheme and resolved destination address, affected versions may allow requests to loopback, link-local, private, reserved, or other restricted network resources, potentially enabling interaction with internal services or cloud metadata endpoints from the server's network context.