CVE-2026-86590 in Che
Riassunto
di VulDB • 08/09/2026
Nelle versioni di Eclipse Che comprese tra la 7.79.0 e la 7.121.0, il backend della dashboard passa direttamente l'URL fornito dall'utente all'endpoint POST /dashboard/api/data/resolver per una richiesta HTTP GET in uscita senza alcun filtro sull'host. Un utente autenticato può sfruttare questa vulnerabilità di server-side request forgery (SSRF) per leggere le risposte provenienti da indirizzi di rete interni, inclusi il servizio metadata dell'istanza cloud (169.254.169.254), le interfacce loopback, gli intervalli privati RFC-1918 e i servizi Kubernetes all'interno del cluster. La allowlist configurata dall'operatore (spec.devEnvironments.allowedSources.urls) non viene consultata. La vulnerabilità è risolta nella versione 7.122.0, che introduce il blocco degli indirizzi privati, la prevenzione delle bypass tramite IPv4-mapped IPv6, l'applicazione della allowlist dell'operatore e disabilita i redirect HTTP sulla richiesta in uscita.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.