CVE-2026-72777 in next-ai-draw-io
Résumé
par VulDB • 14/08/2026
Next AI Draw.io jusqu'à la version 0.4.16 présente une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans le point de terminaison POST /api/parse-url, due à une validation du nom d'hôte qui vérifie uniquement les motifs de chaîne sans résolution DNS. Des attaquants non authentifiés peuvent fournir des noms d'hôte contournant la validation par chaîne mais se résolvant en adresses internes, leur permettant ainsi d'accéder à n'importe quel service HTTP interne et d'exfiltrer les réponses, y compris les métadonnées cloud.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.