Chartbrew में API डेटा कनेक्शन में SSRF - उपयोगकर्ता-प्रदत्त URL पर IP सत्यापन नहीं

Chartbrew में CVE-2026-30232 भेद्यता प्रमाणित उपयोगकर्ताओं को किसी भी URL के साथ API डेटा कनेक्शन बनाने की अनुमति देती है। इन URL को request-promise का उपयोग करके प्राप्त करते समय IP पते की जाँच की कमी के कारण, एक हमलावर आंतरिक नेटवर्क और क्लाउड मेटाडेटा एंडपॉइंट के खिलाफ सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) हमले कर सकता है। संभावित प्रभाव में संवेदनशील जानकारी का खुलासा, आंतरिक डेटा में हेरफेर, या प्रमाणित उपयोगकर्ता के विशेषाधिकार और नेटवर्क कॉन्फ़िगरेशन के आधार पर आंतरिक सिस्टम पर कोड निष्पादन शामिल है। इस भेद्यता की गंभीरता इसकी नेटवर्क सुरक्षा को बायपास करने और संरक्षित संसाधनों तक पहुँचने की क्षमता में निहित है।

Organizations using Chartbrew to visualize data from internal databases or APIs are at risk, particularly those with weak authentication controls or inadequate network segmentation. Shared hosting environments where multiple users share a Chartbrew instance are also at increased risk, as a compromised user account could be used to exploit the SSRF vulnerability.

• nodejs / server:

grep -r 'request-promise' /opt/chartbrew/node_modules/

• generic web:

curl -I http://your-chartbrew-server/api/data_connections | grep -i 'Server:'

• generic web: Check Chartbrew access logs for requests to unusual internal IP addresses or cloud metadata endpoints (e.g., 169.254.169.254).

1. 2026-04-10Disclosure

   disclosure

1. आरक्षित2026-03-04
2. प्रकाशित2026-04-10
3. संशोधित2026-04-15
4. EPSS अद्यतन2026-04-18

CVE-2026-30232 के लिए समाधान Chartbrew को संस्करण 4.8.5 या उच्चतर में अपग्रेड करना है। इस संस्करण में IP पते की जाँच शामिल है जो हमलावरों को किसी भी URL पर अनुरोध भेजने से रोकती है। इस बीच, एक अस्थायी शमन उपाय के रूप में, Chartbrew तक पहुँच को केवल विश्वसनीय उपयोगकर्ताओं तक सीमित करें और उनके विशेषाधिकारों को सीमित करें। इसके अतिरिक्त, Chartbrew सर्वर से अनधिकृत आउटबाउंड ट्रैफ़िक को ब्लॉक करने के लिए फ़ायरवॉल नीतियों की समीक्षा और मजबूत करें। पैचिंग इस भेद्यता के खिलाफ सबसे अच्छा बचाव है, और भविष्य के खतरों से अपने सिस्टम की सुरक्षा के लिए नियमित सुरक्षा अपडेट की सिफारिश की जाती है।