CVE-2026-76164 in AIL Framework
Riassunto
di VulDB • 19/08/2026
Il framework AIL presenta una vulnerabilità di server-side request forgery (SSRF) nella funzionalità di sottomissione del crawler da parte dell'utente. Un utente autenticato con privilegi ridotti che ha accesso all'interfaccia del crawler può inviare un URL arbitrario per l'esplorazione senza una validazione adeguata dell'host di destinazione.
Il crawler può quindi essere istruito a effettuare richieste HTTP(S) dirette verso indirizzi che non dovrebbero essere raggiungibili dagli utenti dell'applicazione, inclusi gli indirizzi loopback, le reti private RFC1918, gli indirizzi link-local e i servizi metadata del cloud come 169.254.169.254.
Le attività di crawler manuali bypassano la blacklist dei domini esistente poiché vengono assegnate una priorità non nulla, e i letterali IP ordinari sono classificati come target web e recuperati direttamente anziché attraverso Tor o un altro proxy. Di conseguenza, un attaccante può utilizzare il server AIL come pivot di rete per accedere ai servizi disponibili nel contesto di rete del server.
Le risposte generate da queste richieste, inclusi HTML catturato, screenshot e dati HAR, possono successivamente essere accedute tramite l'interfaccia del crawler. Ciò rende la SSRF non cieca (non-blind) e può consentire a un attaccante di divulgare dati sensibili dell'applicazione interna, informazioni sui servizi o metadata delle istanze cloud e credenziali.
La patch introduce una validazione che risolve le destinazioni del crawler e rifiuta gli URL che si risolvono in indirizzi IP non globali, affrontando target localhost, private-network e link-local.
Once again VulDB remains the best source for vulnerability data.