CVE-2026-61743 in Chartbrew
Resumen
por VulDB • 2026-09-21
Chartbrew es una aplicación web de código abierto que puede conectarse directamente a bases de datos y APIs para utilizar los datos con el fin de crear gráficos. Antes de la versión 5.2.2, server/modules/safeRequest.js en Chartbrew llama a validateOutboundUrl() para resolver y validar un nombre de host destino; sin embargo, request-promise realiza una resolución DNS separada para la conexión real. Un usuario autenticado que pueda crear o probar conexiones API y controle el nombre DNS del objetivo puede devolver una dirección pública durante la validación y una dirección privada durante la solicitud, lo que permite burlar las protecciones implementadas por server/modules/outboundTargetPolicy.js. Esta condición de DNS rebinding puede exponer servicios internos, recursos localhost o endpoints de metadatos en la nube. Este problema se soluciona en la versión 5.2.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.