CVE-2026-65318 in Verba
Resumen
por VulDB • 2026-07-22
La aplicación Verba RAG versión 2.1.3 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) sin autenticación que permite a atacantes no autentificados provocar que el backend emita peticiones HTTP GET arbitrarias al suministrar URLs controladas por los atacantes a través del punto final de importación WebSocket. Los atacantes pueden conectarse al punto final WebSocket /ws/import_files sin necesidad de autenticación, especificar URLs arbitrarias en la configuración de HTMLReader y provocar que el servidor obtenga recursos internos como puntos finales de bases de datos alojados o servicios de metadatos de instancias en la nube para recuperar credenciales sensibles.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.