何が起きたか
NVDは2026-09-29にCVE-2026-102879（CVSS 5.0 v3.1）を公開しました。ClaraVerseのダウンロード/スクレイピングエージェントツールには、GenAIエージェントサーバーからの内部/IMDSリクエストを可能にするSSRF保護バイパスが含まれています（issue #254）。
なぜ重要か
フェッチ/スクレイピング機能を持つエージェントツールは、LLMアプリケーションサーバーにおける古典的なSSRFの表面です—この欠陥により、認証されたエージェントユーザーがAI展開ホストから内部サービスとクラウドメタデータ（IMDS認証情報）に到達できますが、このパッケージはニッチなものです。
攻撃経路
認証されたユーザーは、ホスト名検証とIPv6遷移アドレスフィルタリングをバイパスするURLで download_file / scrape_web エージェントツールを呼び出し、サーバーに内部サービスとクラウドインスタンスメタデータエンドポイントへのリクエストをさせます（SSRF、CWE-918）。
影響を受けるシステム
ClaraVerse 0.3.1まで（download_fileおよびscrape_webエージェントツール、backend/internal/security/ssrf.go）
緩和策
SSRFバリデータを強化してください（許可リストチェックの前にDNSを解決し、IPv6遷移エンコーディングと非グローバル範囲をブロック）。上流の修正は保留中です（issue #254）。