CVE-2026-61743 in Chartbrew
要約
〜によって VulDB • 2026年09月21日
Chartbrewは、データベースやAPIに直接接続し、そのデータを使用してチャートを作成できるオープンソースのWebアプリケーションです。バージョン5.2.2より前では、Chartbrewのserver/modules/safeRequest.jsがvalidateOutboundUrl()を呼び出してターゲットホスト名を確認および検証しますが、request-promiseは実際の接続に対して別のDNS解決を実行します。API接続の作成またはテストが可能で、ターゲットDNS名の制御権を持つ認証済みユーザーは、検証時には公開アドレスを、リクエスト実行時にはプライベートアドレスを返すことで、server/modules/outboundTargetPolicy.jsによって実装された保護機能を回避できます。このDNS rebinding（DNSリバインディング）の問題により、内部サービスやlocalhostのリソース、クラウドメタデータエンドポイントが露出する可能性があります。本問題はバージョン5.2.2で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.