CVE-2026-21887 in OpenCTI
要約
〜によって VulDB • 2026年09月07日
OpenCTIは、サイバー脅威インテリジェンスの知識および観測可能データ（observables）を管理するためのオープンソースプラットフォームです。バージョン6.8.16より前では、OpenCTIプラットフォームのデータ取り込み機能は検証を行わずにユーザーが指定したURLを受け付け、デフォルト設定（allowAbsoluteUrls: true）でAxios HTTPクライアントを使用します。これにより、攻撃者は内部サービスを含む任意のエンドポイントに対するリクエストを仕組むことができ、Axiosは絶対URLを受信して処理するためです。この脆弱性により、レスポンスが完全に可視化されない場合があるものの内部システムに影響を与える可能性があるため、半盲SSRF（Semi-blind SSRF）となります。本脆弱性は6.8.16で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.