CVE-2026-72777: fallo de gravedad alta en DayuanJiang next-ai-draw-io
Next AI Draw.io 0.4.16 SSRF via DNS Rebinding in parse-url
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
41Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 7.7epss 0.4%
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST /api/parse-url endpoint due to hostname validation that only checks string patterns without DNS resolution. Unauthenticated attackers can supply hostnames that bypass string validation but resolve to internal addresses, allowing them to reach arbitrary internal HTTP services and exfiltrate responses including cloud metadata.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N
Productos afectados
DayuanJiang · next-ai-draw-ioPoCs públicas encontradas — 1
cve_referencegithub.com/DayuanJiang/next-ai-draw-io/issues/918no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — DayuanJiang next-ai-draw-io
En el mismo producto, de las más peligrosas a las menos.