CVE-2026-71495: SSRF critica in Wanderer

Wanderer è un database self-hosted di tracciati per salvare e condividere avventure. La vulnerabilità CVE-2026-71495 affetta l'endpoint POST /api/v1/trail/download: quando il parametro PUBLIC_PRIVATE_INSTANCE non è configurato a true, l'handler accetta un campo url controllato dall'attaccante e lo passa direttamente a event.fetch(), permettendo richieste verso qualsiasi destinazione di rete. Questo espone servizi interni come database (db:8090) e motore di ricerca (search:7700), nonché endpoint di metadata cloud e altre risorse interne.

La vulnerabilità è classificata CVSS 10,0 (Critica) e non richiede autenticazione: chiunque acceda all'endpoint compromesso può interrogare i servizi interni dell'organizzazione. Il pericolo principale risiede nell'esposizione di dati sensibili dai servizi interni e nella possibilità di eseguire ricognizione della rete, oltre a potenziali attacchi denial of service. La falla è stata segnalata il 6 novembre 2026 e i segnali su piattaforme pubbliche confermano la diffusione dell'informazione nelle ultime 24 ore.

Priorità assoluta: aggiornare Wanderer alla versione 0.20.0 o successivo dove la vulnerabilità è corretta. Per istanze non ancora aggiornabili nel breve termine, verificare che PUBLIC_PRIVATE_INSTANCE sia configurato a true per disabilitare l'endpoint pubblico. Controllare gli access log per attività sospette sull'endpoint /api/v1/trail/download. Monitorare i servizi interni (database, motore di ricerca) per eventuali accessi anomali. Documentare quale versione di Wanderer è in uso e pianificare l'aggiornamento come intervento urgente.