← Retour
CVE-2026-72777
high
CVSS 8.6
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST ...
Résumé
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST ...
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-72777** a été découverte dans ssrf.
Des attaquants peuvent cibler un point d'entrée spécifique comme `POST /api/parse-url` à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.6/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « ssrf CVE-2026-72777 » sur le site de l'éditeur.
CVE-2026-72777 (ssrf) — CWE-918 / CVSS v3 8.6
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : POST /api/parse-url
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
Next AI Draw.io のPOST /api/parse-urlエンドポイントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。
📍 Périmètre concerné
Next AI Draw.io バージョン0.4.16まで。
🔥 Gravité
ホスト名検証が不十分で、内部サービスにアクセスされる恐れがあり、重要なデータが漏洩する可能性がある。
🔧 Comment corriger
DNS解決も含めたホスト名の厳密な検証を実装する。
🛡️ Contournement
Firewallルールを追加し、外部から内部ネットワークへの不正なリクエストを制限する。
🔍 Détection
アクセスログを確認し、不審な内部サービスへのリクエストを特定する。