CVE-2026-55414

Nome do Software Vulnerável e Versões Afetadas NL Portal Backend Libraries versões 1.1.0 até 3.0.3 NL Portal Backend Libraries versão 3.1.0

Description Usuários não autenticados podem acessar os resolvers GraphQL públicos getFormDefinitionByObjectenApiUrl e os obsoletos getFormDefinitionById através do endpoint /graphql. Esses resolvers encaminham uma URL influenciada pelo usuário para a função getObjectByUrl() no ObjectenApiService, que então chama getObjectByUrl() no ObjectsApiClient. Esse processo anexa um token privilegiado da Objecten-API à requisição. Embora seja realizada uma verificação de igualdade de host, ela não valida o esquema, a porta ou o caminho, permitindo que um invasor induza uma requisição com token para qualquer endpoint no host configurado da Objecten-API. Isso resulta em um server-side request forgery (SSRF) restrito combinado com a falta de autorização. Devido à desserialização tipada, os dados retornados são limitados a objetos com formato de definições de formulário.

Recommendations Atualize o NL Portal Backend Libraries para a versão 3.0.4 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint /graphql ou desative os resolvers getFormDefinitionByObjectenApiUrl e getFormDefinitionById.