CVE-2026-30232 describes a Server-Side Request Forgery (SSRF) vulnerability affecting Chartbrew, an open-source web application for creating charts from database and API data. This flaw allows authenticated users to create API data connections using arbitrary URLs, enabling attackers to make requests to internal resources. The vulnerability impacts versions 0.0.0 through 4.8.4 and is resolved in version 4.8.5.
Chartbrew 的 CVE-2026-30232 漏洞允许经过身份验证的用户使用任意 URL 创建 API 数据连接。由于使用 request-promise 获取这些 URL 时缺乏 IP 地址验证，攻击者可以对内部网络和云元数据终端节点执行服务器端请求伪造 (SSRF) 攻击。潜在影响包括敏感信息泄露、内部数据篡改，甚至取决于经过身份验证的用户权限和网络配置，在内部系统上执行代码。此漏洞的严重性在于其能够绕过网络防御并访问受保护的资源。
Chartbrew 中经过身份验证的攻击者可以通过创建指向内部 URL 或云元数据终端节点的 API 数据连接来利用此漏洞。Chartbrew 服务器尝试从该 URL 获取数据，并将代表攻击者发送请求。如果服务器可以访问内部资源，则攻击者可以使用此技术读取敏感数据、修改配置或在内部系统上执行命令。缺乏 IP 地址验证使得攻击者更容易绕过网络防御并访问受保护的资源。利用的复杂性相对较低，只需对 Chartbrew 应用程序进行身份验证访问。
Organizations using Chartbrew to visualize data from internal databases or APIs are at risk, particularly those with weak authentication controls or inadequate network segmentation. Shared hosting environments where multiple users share a Chartbrew instance are also at increased risk, as a compromised user account could be used to exploit the SSRF vulnerability.
• nodejs / server:
grep -r 'request-promise' /opt/chartbrew/node_modules/• generic web:
curl -I http://your-chartbrew-server/api/data_connections | grep -i 'Server:'• generic web:
Check Chartbrew access logs for requests to unusual internal IP addresses or cloud metadata endpoints (e.g., 169.254.169.254).
disclosure
漏洞利用状态
EPSS
0.03% (10% 百分位)
CISA SSVC
CVE-2026-30232 的修复方法是将 Chartbrew 升级到 4.8.5 或更高版本。此版本包含 IP 地址验证，可防止攻击者向任意 URL 发送请求。同时，作为临时缓解措施，请仅将 Chartbrew 访问限制为受信任的用户，并限制其权限。此外，请审查并强化防火墙策略，以阻止 Chartbrew 服务器发出的未经授权的出站流量。打补丁是防御此漏洞的最佳方法，并建议定期进行安全更新以保护您的系统免受未来威胁。
Actualice a la versión 4.8.5 o posterior para mitigar la vulnerabilidad de Server-Side Request Forgery (SSRF). Esta versión implementa la validación de direcciones IP para las URLs proporcionadas por el usuario en las conexiones de datos de la API, previniendo así el acceso no autorizado a recursos internos.
漏洞分析和关键警报直接发送到您的邮箱。
SSRF（服务器端请求伪造）是一种攻击，攻击者欺骗服务器向攻击者通常无法访问的资源发送请求。
是的，强烈建议升级到 4.8.5 或更高版本以缓解此漏洞。
作为临时措施，请限制对 Chartbrew 的访问并审查您的防火墙策略。
是的，所有早于 4.8.5 版本的 Chartbrew 安装都存在漏洞。
是的，审查并强化防火墙策略，限制用户权限，并定期应用安全补丁。