SSRF (Falsification de requête côté serveur) dans Next AI Draw.io (CVE-2026-72777)
Résumé
SSRF dans Next AI Draw.io (CVE-2026-72777). Des informations confidentielles peuvent être exposées. Exploitable via POST /api/parse-url.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST /api/parse-url endpoint due to hostname validation that only checks string patterns without DNS resolution. Unauthenticated attackers can supply hostnames that bypass string validation but resolve to internal addresses, allowing them to reach arbitrary internal HTTP services and exfiltrate responses including cloud metadata.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-72777 a été découverte dans ssrf.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /api/parse-url à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.6/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « ssrf CVE-2026-72777 » sur le site de l'éditeur.
CVE-2026-72777 (ssrf) — CWE-918 / CVSS v3 8.6
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : POST /api/parse-url
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Next AI Draw.io のPOST /api/parse-urlエンドポイントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。
Next AI Draw.io バージョン0.4.16まで。
ホスト名検証が不十分で、内部サービスにアクセスされる恐れがあり、重要なデータが漏洩する可能性がある。
DNS解決も含めたホスト名の厳密な検証を実装する。
Firewallルールを追加し、外部から内部ネットワークへの不正なリクエストを制限する。
アクセスログを確認し、不審な内部サービスへのリクエストを特定する。
Références
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com