CVE-2026-91199

Nome do Software Vulnerável e Versões Afetadas Refly versões anteriores a 1.1.1

Description Existe um problema onde o servidor busca URLs fornecidas pelo usuário sem validar o esquema, o host ou o endereço resolvido. Atacantes autenticados podem explorar isso para forçar o backend a emitir requisições para endereços de loopback, privados e link-local, incluindo serviços de metadados de nuvem, para ler títulos e descrições de páginas de recursos internos. Isso ocorre no endpoint 'POST /v1/misc/scrape'.

Recommendations Atualize para uma versão posterior a 1.1.0. Como medida paliativa temporária, restrinja o acesso ao endpoint 'POST /v1/misc/scrape'.