CVE-2026-49138
MediumCVSS 5.0Summary
Nanobot w wersjach przed 0.2.1 zawiera podatność typu server-side request forgery w narzędziu web_fetch, która pozwala zdalnym atakującym na dostęp do wewnętrznych lub prywatnych hostów sieciowych. Atakujący mogą wykorzystać automatyczne przekierowanie HTTP, aby obejść początkową walidację URL i wysłać żądania do wewnętrznych hostów.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych organizacji, co stwarza poważne zagrożenie dla bezpieczeństwa danych i infrastruktury.
Recommendation
Zaleca się aktualizację Nanobota do wersji 0.2.1 lub nowszej, aby usunąć tę podatność oraz przeprowadzenie audytu zabezpieczeń w celu zidentyfikowania potencjalnych zagrożeń.
Original NVD description (English source)
Nanobot prior to version 0.2.1 contains a server-side request forgery vulnerability in the web_fetch tool that allows remote attackers to reach internal or private network hosts by supplying a URL that redirects to a loopback or private address via a 3xx Location header. Attackers can exploit the automatic HTTP redirect following behavior in the httpx library to bypass initial URL validation and cause the runtime to send outbound requests to internal hosts before final resolved URL validation is applied.