CVE-2026-72777

Nome do Software Vulnerável e Versões Afetadas Next AI Draw.io versões anteriores a 0.4.17

Description Existe um problema no endpoint 'POST /api/parse-url' onde a validação do nome do host é realizada utilizando padrões de string sem a resolução de DNS. Isso permite que atacantes não autenticados utilizem nomes de host que ignoram essas verificações, mas resolvem para endereços internos, possibilitando a falsificação de requisição do lado do servidor (SSRF). Isso pode ser usado para acessar serviços HTTP internos arbitrários e exfiltrar dados sensíveis, como metadados de nuvem.

Recommendations Atualize o Next AI Draw.io para a versão 0.4.17 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'POST /api/parse-url'.