Next AI Draw.io through 0.4.16 contains a server-side reques…(CVE-2026-72777・CVSS 8.6)

概要

Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST ...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST /api/parse-url endpoint due to hostname validation that only checks string patterns without DNS resolution. Unauthenticated attackers can supply hostnames that bypass string validation but resolve to internal addresses, allowing them to reach arbitrary internal HTTP services and exfiltrate responses including cloud metadata.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Next AI Draw.io 0.4.16 までのバージョンには、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。これはPOST /api/parse-urlエンドポイントで、ホスト名を文字列パターンでしか検証せず、DNS解決を行っていないためです。攻撃者は未認証で内部HTTPサービスにアクセスし、例えばクラウドメタデータなどを取得することが可能です。

❓ 何が問題か

Next AI Draw.io のPOST /api/parse-urlエンドポイントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。

📍 影響範囲

Next AI Draw.io バージョン0.4.16まで。

🔥 重要度

ホスト名検証が不十分で、内部サービスにアクセスされる恐れがあり、重要なデータが漏洩する可能性がある。

🔧 修正方法

DNS解決も含めたホスト名の厳密な検証を実装する。

🛡️ 暫定回避

Firewallルールを追加し、外部から内部ネットワークへの不正なリクエストを制限する。

🔍 検知方法

アクセスログを確認し、不審な内部サービスへのリクエストを特定する。