CVE-2026-82285highCWE-918

CVE-2026-82285: fallo de gravedad alta en dataelement bisheng

BISHENG Unauthenticated Server-Side Request Forgery via Workflow Report Callback

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear bisheng

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 0.5%
bisheng through 2.6.0-fix2 contains a server-side request forgery vulnerability in the POST /api/v1/workflow/report/callback endpoint that lacks authentication and applies no URL scheme restrictions or host filtering. Unauthenticated attackers can supply arbitrary URLs to enumerate internal network services and cloud metadata endpoints, then retrieve captured responses from object storage using caller-supplied object names.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
dataelement · bisheng
CVEs relacionadas — dataelement bisheng

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-82278HIGHBISHENG Authenticated Arbitrary Python Code Execution via Workflow run_onceEPSS 1.0%CVE-2026-111363HIGHBISHENG through 3.0.0-beta4 IDOR via /api/v1/knowledge/file_bboxEPSS 0.3%