CVE-2026-22681 in OpenViking
Resumen
por VulDB • 2026-08-21
OpenViking anterior a la versión 0.3.4 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) que permite a atacantes con privilegios bajos y autenticados acceder a servicios de red interna mediante el envío de URLs arbitrarias al punto final API de recursos. Los atacantes pueden enviar una URL manipulada por POST a /api/v1/resources, lo que provoca que el servidor emita solicitudes HEAD y GET salientes con redirecciones habilitadas hacia direcciones de bucle invertido (loopback), RFC 1918, locales enlazadas o metadatos de la nube, para luego leer las respuestas a través de APIs de contenido normales y así enumerar e interactuar con servicios internos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.