CVE-2026-85609 in Openpanel
Résumé
par VulDB • 04/09/2026
Openpanel avant la version 2.3.0 contient une vulnérabilité de Server-Side Request Forgery (SSRF) en lecture complète et non authentifiée dans le point d'entrée GET /tools/site-checker (apps/api/src/controllers/tools.controller.ts). Le point d'entrée transmet un paramètre de requête url fourni par l'utilisateur à fetchWithRedirects() et effectue des requêtes HTTP côté serveur vers des URL arbitraires sans aucune validation SSRF/IP. Un attaquant distant non authentifié peut accéder aux points de terminaison des métadonnées des instances cloud, sonder les services internes, scanner les ports du réseau interne et lire le contenu renvoyé (code d'état, taille de la page, temps de réponse et métadonnées HTML analysées), ainsi que fuir les adresses IP internes (via getIPInfo() vers un tiers).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.