CVE-2026-85609 in Openpanel
Сводка
по VulDB • 04.09.2026
В версиях Openpanel до 2.3.0 присутствует уязвимость Server-Side Request Forgery (SSRF) с полным чтением данных на стороне сервера, не требующая аутентификации, в конечной точке GET /tools/site-checker (apps/api/src/controllers/tools.controller.ts). Конечная точка передает предоставленный пользователем параметр URL-запроса функции fetchWithRedirects() и выполняет HTTP-запросы на стороне сервера к произвольным адресам без какой-либо проверки SSRF/IP. Неавторизованный удаленный злоумышленник может получать доступ к конечным точкам метаданных облачных инстансов, сканировать внутренние сервисы, проверять порты внутренней сети и читать возвращаемый контент (код состояния, размер страницы, время отклика и проанализированные HTML-метаданные), а также утекать внутренние IP-адреса (через getIPInfo() в стороннюю службу).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.