Apa yang terjadi
Terverifikasi melalui NVD REST API (diterbitkan 2026-10-14, CVSS 5.4 v3.1 / 5.3 v4.0, status Deferred). SSRF modul-AI yang niche tetapi konkret dalam framework admin yang banyak digunakan di pasar China.
Mengapa penting
Endpoint pembuatan gambar/kode AI yang mengambil URL yang disuplai pengguna adalah kelas SSRF yang berulang dalam aplikasi web AI; di sini memungkinkan pengguna berhak-rendah terautentikasi untuk berpindah dari modul AI ke jaringan internal dan metadata cloud dari platform admin yang sibuk.
Vektor serangan
SSRF terautentikasi (CWE-918) di layanan pembuatan gambar AI: referImageUrl yang dikendalikan penyerang diambil di sisi server tanpa validasi host, mencapai target internal/metadata cloud yang responsnya dapat diamati.
Sistem yang terdampak
YunaiV/ruoyi-vue-pro melalui 2026.09
Mitigasi
Validasi/resolusi referImageUrl terhadap allowlist, tolak alamat private/loopback/metadata, dan batasi egress layanan AI; pantau rilis yang ditambal mengingat status Deferred.