CVE-2026-71495

Nome do Software Vulnerável e Versões Afetadas Wanderer versões anteriores a 0.20.0

Description Quando a variável PUBLIC PRIVATE INSTANCE não está definida como true, o endpoint POST '/api/v1/trail/download' não autenticado passa o campo url controlado pelo atacante no corpo JSON diretamente para a função event.fetch() e retorna a resposta. Isso permite requisições não autorizadas a serviços internos, como 'db:8090' e 'search:7700', endereços de metadados de nuvem e outros destinos de rede, o que pode levar à exposição de dados, reconhecimento de rede interna ou negação de serviço.

Recommendations Atualizar para a versão 0.20.0.