8.5
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Huly Platform through 0.7.426 contains a server-side request forgery vulnerability in the print service due to missing hostname allowlist validation. Authenticated workspace members can supply arbitrary URLs to the print endpoint, which Puppeteer renders and returns as downloadable PDFs or images, enabling access to internal metadata services and network hosts.
Засегнати продукти
- hcengineering platform: до 0.7.426
Вид слабост
История
- 14 септември 2026 Публикувано
Други уязвимости в hcengineering platform
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-91079
- https://nvd.nist.gov/vuln/detail/CVE-2026-91079
- https://github.com/hcengineering/platform/issues/10908
- https://github.com/hcengineering/platform
- https://github.com/hcengineering/platform/blob/v0.7.426/services/print/pod-print/src/server.ts
- https://github.com/hcengineering/platform/blob/v0.7.426/services/print/pod-print/src/config.ts
- https://www.vulncheck.com/advisories/huly-platform-through-0.7.426-ssrf-via-print-service