CVE-2026-116069
Beschrijving NL
NiubiGEO voor 0.3.2 bevat een niet-geverifieerde server-side request forgery kwetsbaarheid die externe aanvallers in staat stelt om de server interne adressen te laten ophalen door een vervaardigde domeinwaarde te leveren aan POST /audit-plan. Aanvallers kunnen IP-literalen, localhosts of privé- en link-lokale hosts indienen om loopback-, interne netwerk- of cloudmetadata-antwoorden te lezen die worden geretourneerd op de siteEvidence JSON van het abonnement.
Origineel (Engels) tonen
NiubiGEO before 0.3.2 contains an unauthenticated server-side request forgery vulnerability that allows remote attackers to make the server fetch internal addresses by supplying a crafted domain value to POST /audit-plan. Attackers can submit IP literals, localhost, or private and link-local hosts to read loopback, internal-network, or cloud metadata responses returned in the plan's siteEvidence JSON.