CVE-2026-73082
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Activepieces to platforma automatyzacji przepływów pracy AI typu open source. Przed wersją 0.82.0 punkt końcowy POST /api/v1/projects/:projectId/mcp-server/validate-agent-mcp-tool wykonuje wychodzące żądanie HTTP lub SSE do adresu serverUrl dostarczonego przez użytkownika bez walidacji URL lub ochrony SSRF. Uwierzytelniony użytkownik może spowodować, że serwer Activepieces połączy się z wewnętrznymi usługami, punktami końcowymi metadanych chmury lub dowolnymi zewnętrznymi hostami i badać dostępność sieci z hosta Activepieces. Problem naprawiono w wersji 0.82.0.
Ocena ryzyka
Podatność SSRF może umożliwić atakującemu dostęp do wewnętrznych zasobów sieciowych lub metadanych chmury, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Activepieces do wersji 0.82.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Activepieces is an open source AI workflow automation platform. Prior to 0.82.0, the POST /api/v1/projects/:projectId/mcp-server/validate-agent-mcp-tool endpoint makes an outbound HTTP or SSE request to a user-supplied serverUrl without URL validation or SSRF protection. An authenticated user can cause the Activepieces server to connect to internal services, cloud metadata endpoints, or arbitrary external hosts and probe network reachability from the Activepieces host. This issue is fixed in version 0.82.0.