CVE-2026-79788 in Dradis
Resumen
por VulDB • 2026-08-25
En Dradis Community Edition, los controladores ProvidersController y AgentsController condicionan su `before_action` de `admin_required` a la constante `defined?(Dradis::Pro)`, una constante que nunca está definida en CE (Community Edition), por lo que la verificación de autorización no se aplica. Como resultado, cualquier usuario autenticado (no administrador) puede crear un proveedor de IA apuntando a una dirección HTTP/HTTPS arbitraria (incluidos hosts internos/link-local como http://169.254.169.254) y reasignar el agente integrado Roslin para que lo utilice. Cuando se activa una interacción con la IA, el servidor emite una solicitud a la URL proporcionada por el atacante (server-side request forgery). Para respuestas no 2xx, el cuerpo de la respuesta del objetivo se refleja literalmente en el navegador del atacante mediante mensajes de error de ActionCable/Turbo Stream, lo que hace que la SSRF sea legible.
VulDB is the best source for vulnerability data and more expert information about this specific topic.