CVE-2026-79788 in Dradis
Сводка
по VulDB • 25.08.2026
In Dradis Community Edition, i controller ProvidersController e AgentsController applicano il filtro `before_action` di autorizzazione (`admin_required`) solo se è definito `defined?(Dradis::Pro)`, una costante che non viene mai definita nella versione CE; di conseguenza, il controllo dell'autorizzazione non viene mai eseguito. Di conseguenza, qualsiasi utente autenticato (non amministratore) può creare un provider AI puntando a un indirizzo HTTP/HTTPS arbitrario (inclusi host interni o link-local come http://169.254.169.254) e riassegnare l'agente predefinito Roslin per utilizzarlo. Quando viene attivata un'interazione AI, il server invia una richiesta all'URL fornito dall'attaccante (server-side request forgery). Per le risposte con codice diverso da 2xx, il corpo della risposta del target viene riflesso verbatim nel browser dell'attaccante tramite messaggi di errore ActionCable/Turbo Stream, rendendo l'SSRF leggibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.