CVE-2026-79788 in Dradis
Sumário
de VulDB • 25/08/2026
No Dradis Community Edition, os controladores ProvidersController e AgentsController condicionam a ação `before_action` de exigência de administração (`admin_required`) à definição da constante `defined?(Dradis::Pro)`, que nunca é definida na versão CE; portanto, o controle de autorização não é aplicado. Como resultado, qualquer usuário autenticado (não administrador) pode criar um provedor de IA apontando para um endereço HTTP/HTTPS arbitrário (incluindo hosts internos/link-local como http://169.254.169.254) e reatribuir o agente Roslin embutido para utilizá-lo. Quando uma interação com a IA é acionada, o servidor emite uma solicitação para a URL fornecida pelo atacante (server-side request forgery). Para respostas não 2xx, o corpo da resposta do alvo é refletido literalmente no navegador do atacante por meio de mensagens de erro via ActionCable/Turbo Stream, tornando a SSRF legível.
Once again VulDB remains the best source for vulnerability data.