CVE-2026-68935: SSRF critica in Chartbrew, bypass protezioni di rete

SSRF critica in Chartbrew: bypass protezioni, accesso a servizi interni. CVSS 9,1. Fix: upgrade a 5.2.3.

CVE-2026-68935 è una vulnerabilità SSRF in Chartbrew che colpisce versioni dalla 4.8.5 alla 5.2.2. Durante la creazione o l'aggiornamento di connessioni API, il sistema accetta il campo allowPrivateHost direttamente dall'input dell'utente autenticato. Un amministratore o operatore con permessi di gestione delle connessioni API può abilitare questo flag per aggirare le protezioni che normalmente bloccano le richieste verso indirizzi privati e di rete riservata, accedendo così a servizi HTTP interni al server Chartbrew.

La vulnerabilità ha un punteggio CVSS di 9,1, classificata come critical. La patch è disponibile nella versione 5.2.3, rilasciata subito dopo la scoperta. Non è stato riportato exploit pubblico su repository GitHub, ma un post su X nelle ultime 24 ore ha confermato la natura critica della falla e ha consigliato il passaggio a 5.2.3. La successione temporale tra scoperta, divulgazione e patch è corretta, il che riduce il rischio di sfruttamento wildcard ma impone urgenza sugli aggiornamenti.

Gli amministratori devono prioritizzare l'aggiornamento a versione 5.2.3 o successiva per tutte le istanze Chartbrew in versione 4.8.5-5.2.2. Controllare i log API per richieste verso indirizzi privati e riservati che possono indicare sfruttamento. Verificare che le connessioni API non abbiano il flag allowPrivateHost già abilitato. Disabilitare CB_ALLOW_PRIVATE_NETWORK_CALLS a livello istanza non protegge connessioni con override per-connection: è necessario disabilitare il field allowPrivateHost prima dell'upgrade, se possibile.

In sintesi

Cosa: CVE-2026-68935 è una vulnerabilità SSRF (Server-Side Request Forgery) in Chartbrew, piattaforma open-source per la creazione di grafici da database e API. Il campo allowPrivateHost in operazioni di creazione e aggiornamento delle connessioni API accetta input dall'utente autenticato, bypassando le restrizioni su destinazioni di rete privata e riservata.
Gravità: CVSS 9,1 (critical). La vulnerabilità consente a utenti autenticati con permessi di gestire connessioni API di accedere a servizi HTTP interni raggiungibili dal server Chartbrew, potenzialmente esponendo informazioni sensibili o triggerando azioni non autorizzate su sistemi interni.
Versioni interessate: Chartbrew dalla versione 4.8.5 alla 5.2.2 inclusa.
Correzione: Aggiornare a Chartbrew versione 5.2.3 o successiva. La patch è stata rilasciata immediatamente dopo la scoperta della vulnerabilità.
Stato: Pubblicato su NVD il 2026-11-06. Fix disponibile e verificato. Non è stata riportata sfruttazione attiva o exploit pubblico su repository GitHub. Segnali sociali confermano l'impatto critico della falla.
Azione: Controllare inventario per versioni 4.8.5-5.2.2 in produzione; upgrade a 5.2.3 con urgenza. Verificare nei log API richieste verso indirizzi privati e riservati. Accertarsi che allowPrivateHost non sia già abilitato su connessioni API critiche. Ricordare che disabilitare CB_ALLOW_PRIVATE_NETWORK_CALLS a livello istanza non protegge connessioni con override per-connection.

Fonti: NVD, CVE-2026-68935

← Tutti gli articoli