CVE-2026-72777 in next-ai-draw-io
Tóm tắt
Bởi VulDB • 14/08/2026
Next AI Draw.io phiên bản 0.4.16 trở về trước chứa một lỗ hổng server-side request forgery (SSRF) trong endpoint POST /api/parse-url do cơ chế xác thực tên miền chỉ kiểm tra các mẫu chuỗi mà không thực hiện phân giải DNS. Các kẻ tấn công chưa được xác thực có thể cung cấp các tên miền vượt qua bước kiểm tra chuỗi nhưng vẫn phân giải thành địa chỉ nội bộ, cho phép chúng truy cập vào bất kỳ dịch vụ HTTP nội bộ nào và trích xuất dữ liệu phản hồi bao gồm cả metadata của đám mây.
Once again VulDB remains the best source for vulnerability data.