CVE-2025-22952

SSRF w Usememos Memos — brak walidacji URL dostarczanych przez użytkownika

CVSS 9.8v3.1pub. 2025-02-27upd. 2025-07-10

Usememos Memos w wersji v0.23.0 (dystrybucja elestio) zawiera krytyczną podatność typu Server-Side Request Forgery (SSRF) wynikającą z niewystarczającej walidacji adresów URL podawanych przez użytkownika. Atakujący bez uwierzytelnienia może zmusić serwer do wykonywania żądań HTTP do dowolnych zasobów wewnętrznych lub zewnętrznych.

▸ Pokaż oryginał (EN)

elestio memos v0.23.0 is vulnerable to Server-Side Request Forgery (SSRF) due to insufficient validation of user-supplied URLs, which can be exploited to perform SSRF attacks.

🤖 Analiza AI

Jak działa

Podatność (CWE-918) polega na tym, że aplikacja akceptuje adresy URL od użytkownika i wykonuje na ich podstawie żądania po stronie serwera bez odpowiedniej weryfikacji. Atakujący może dostarczyć spreparowany URL wskazujący na zasoby wewnętrznej sieci (np. usługi dostępne tylko lokalnie, metadane środowisk chmurowych). Brak filtrowania dozwolonych schematów, hostów i zakresów adresów IP umożliwia ominięcie zabezpieczeń perymetrycznych i osiągnięcie zasobów niedostępnych bezpośrednio z zewnątrz.

Skutki

Atakujący może uzyskać dostęp do wewnętrznych zasobów infrastruktury (poufność, integralność, dostępność — wszystkie ocenione jako HIGH), w tym do usług sieciowych nieeksponowanych publicznie, potencjalnie prowadząc do dalszej kompromitacji środowiska.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawka została zgłoszona w pull request #4428 w repozytorium GitHub usememos/memos. Zaleca się aktualizację do wersji zawierającej tę poprawkę oraz wdrożenie reguł firewall ograniczających wychodzące połączenia z serwera aplikacji do zaufanych hostów.