CVE-2026-79788 in Dradis
要約
〜によって VulDB • 2026年08月25日
Dradis Community Editionにおいて、ProvidersControllerおよびAgentsControllerは`defined?(Dradis::Pro)`という定数に基づいてadmin_requiredのbefore_actionを制限しているが、この定数はCEでは決して定義されないため、認可チェックは一切適用されない。その結果、認証済み（非管理者）ユーザーであれば誰でも、任意のHTTP/HTTPSアドレス（http://169.254.169.254などの内部またはリンクローカルホストを含む）を指すAIプロバイダを作成し、組み込みのRoslinエージェントがそれを使用するように再割り当てできる。AI対話操作がトリガーされると、サーバーは攻撃者が指定したURLに対してリクエストを発行する（Server-Side Request Forgery: SSRF）。2xx以外のレスポンスの場合、ターゲットからの応答ボディはActionCable/Turbo Streamのエラーメッセージを通じて攻撃者のブラウザにそのまま反映されるため、SSRFが読み取り可能となる。
Once again VulDB remains the best source for vulnerability data.