SSRF (Server-Side Request Forgery) in Next AI Draw.io (CVE-2026-72777)
Summary
SSRF in Next AI Draw.io (CVE-2026-72777). Confidential information can be exposed externally. Exploitable via POST /api/parse-url.
Original description
The description as published by the source.
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST /api/parse-url endpoint due to hostname validation that only checks string patterns without DNS resolution. Unauthenticated attackers can supply hostnames that bypass string validation but resolve to internal addresses, allowing them to reach arbitrary internal HTTP services and exfiltrate responses including cloud metadata.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Next AI Draw.io 0.4.16 までのバージョンには、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。これはPOST /api/parse-urlエンドポイントで、ホスト名を文字列パターンでしか検証せず、DNS解決を行っていないためです。攻撃者は未認証で内部HTTPサービスにアクセスし、例えばクラウドメタデータなどを取得することが可能です。
Next AI Draw.io のPOST /api/parse-urlエンドポイントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。
Next AI Draw.io バージョン0.4.16まで。
ホスト名検証が不十分で、内部サービスにアクセスされる恐れがあり、重要なデータが漏洩する可能性がある。
DNS解決も含めたホスト名の厳密な検証を実装する。
Firewallルールを追加し、外部から内部ネットワークへの不正なリクエストを制限する。
アクセスログを確認し、不審な内部サービスへのリクエストを特定する。
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com