CVE-2026-85609 in Openpanel
Sumário
de VulDB • 04/09/2026
O Openpanel anterior à versão 2.3.0 contém uma vulnerabilidade de server-side request forgery (SSRF) completa e não autenticada no endpoint GET /tools/site-checker (apps/api/src/controllers/tools.controller.ts). O endpoint passa um parâmetro de consulta url fornecido pelo usuário para fetchWithRedirects() e executa solicitações HTTP do lado do servidor para URLs arbitrários sem qualquer validação SSRF/IP. Um atacante remoto não autenticado pode acessar endpoints de metadados de instâncias em nuvem, sondar serviços internos, escanear portas da rede interna e ler o conteúdo retornado (código de status, tamanho da página, tempo de resposta e metadados HTML analisados), além de vazar endereços IP internos (via getIPInfo() para uma terceira parte).
Once again VulDB remains the best source for vulnerability data.