CVE-2026-71495 SSRF en /api/v1/trail/download de Wanderer por URL no validada
En Wanderer, antes de 0.20.0, cuando PUBLIC_PRIVATE_INSTANCE no está en true, el handler no autenticado POST /api/v1/trail/download pasa el campo JSON url controlado por el atacante directamente a event.fetch() y devuelve la respuesta. Esto permite solicitudes a servicios internos como db:8090 y search:7700, direcciones de metadatos de nube y otros destinos, exponiendo datos y permitiendo reconocimiento de red interna o denegación de servicio. Corregido en 0.20.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 27
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
open-wanderer wanderer
< 0.20.0
Qué hacer
- Verificá si usás wanderer y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 10.0 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.20.0, when PUBLIC_PRIVATE_INSTANCE is not set to true, the unauthenticated POST /api/v1/trail/download handler passes the attacker-controlled JSON url field directly to event.fetch() and returns the fetched response. This allows requests to internal services such as db:8090 and search:7700, cloud metadata addresses, and other network destinations, exposing returned data and permitting internal network reconnaissance or denial of service. This issue is fixed in version 0.20.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.