NucleoidAI Nucleoid Extensão cluster.ts extension.apply de requisição do lado do servidor (Server-Side Request Forgery)

A exploração bem-sucedida desta vulnerabilidade SSRF pode permitir que um atacante acesse recursos internos que normalmente não estão expostos à internet. Isso pode incluir informações confidenciais, como arquivos de configuração, dados de banco de dados ou até mesmo outros serviços rodando no mesmo servidor. Um atacante também pode usar a SSRF para escanear a rede interna em busca de outros sistemas vulneráveis, facilitando o movimento lateral e a escalada de privilégios. A severidade da vulnerabilidade é alta devido ao potencial de acesso não autorizado a dados sensíveis e à possibilidade de comprometer a integridade do sistema.

Organizations deploying NucleoidAI Nucleoid in production environments, particularly those with sensitive internal resources or exposed APIs, are at risk. Shared hosting environments where NucleoidAI Nucleoid instances share network access with other applications are also particularly vulnerable, as a compromised NucleoidAI Nucleoid instance could potentially be used to attack other systems on the same host.

• nodejs / server:

  journalctl -u nucleoidai-nucleoid --grep "outbound request"

• nodejs / server:

  ps aux | grep -i nucleoidai-nucleoid | grep -i "https://"

• generic web: Use curl or wget to test outbound request functionality. Check response headers for unexpected origins or internal IP addresses.

  curl -v https://nucleoidai-nucleoid-instance/some/internal/path

1. 2025-10-16Disclosure

   disclosure

1. Reservado2025-10-16
2. Publicada2025-10-16
3. Modificada2025-10-17
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o NucleoidAI Nucleoid para a versão 0.7.10 ou superior, que inclui a correção. Enquanto a atualização não for possível, implemente validação rigorosa de entrada para todos os parâmetros HTTP, especialmente aqueles relacionados a URLs e endereços IP. Restrinja o acesso a recursos internos, utilizando firewalls ou listas de permissão para limitar as requisições que o servidor pode fazer. Considere a implementação de um Web Application Firewall (WAF) para detectar e bloquear tentativas de exploração SSRF. Monitore logs de acesso e erro em busca de padrões suspeitos de requisições.