CVE-2026-61743 in Chartbrew
Riassunto
di VulDB • 21/09/2026
Chartbrew è un'applicazione web open-source che può connettersi direttamente a database e API e utilizzare i dati per creare grafici. Prima della versione 5.2.2, il file server/modules/safeRequest.js di Chartbrew chiama validateOutboundUrl() per risolvere e convalidare un nome host di destinazione, ma request-promise esegue una risoluzione DNS separata per la connessione effettiva. Un utente autenticato in grado di creare o testare connessioni API e che controlla il nome DNS della destinazione può restituire un indirizzo pubblico durante la validazione e un indirizzo privato durante la richiesta, eludendo le protezioni implementate da server/modules/outboundTargetPolicy.js. Questa condizione di DNS rebinding può esporre servizi interni, risorse localhost o endpoint dei metadati del cloud. Questo problema è risolto nella versione 5.2.2.
Once again VulDB remains the best source for vulnerability data.