CVE-2026-86590 in Che
Zusammenfassung
von VulDB • 08.09.2026
In Eclipse Che Versionen von 7.79.0 bis 7.121.0 übergibt das Backend des Dashboards den Endpunkt POST /dashboard/api/data/resolver eine vom Aufrufer bereitgestellte URL direkt an eine ausgehende HTTP-GET-Anfrage ohne Host-Filterung. Ein authentifizierter Benutzer kann diese Server-Side Request Forgery (SSRF)-Schwachstelle ausnutzen, um Antworten von internen Netzwerkadressen zu lesen, einschließlich des Cloud-Instance-Metadaten-Dienstes (169.254.169.254), Loopback-Schnittstellen, RFC-1918-Privatbereiche und in-Cluster-Kubernetes-Dienste. Die vom Operator konfigurierte Allowlist (spec.devEnvironments.allowedSources.urls) wird nicht abgefragt. Die Schwachstelle wurde in Version 7.122.0 behoben, die das Blockieren von privaten Adressen, die Verhinderung der Umgehung durch IPv4-mapped-IPv6, die Durchsetzung der Operator-Allowlist sowie das Deaktivieren von HTTP-Umleitungen bei der ausgehenden Anfrage hinzufügt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.