何が起きたか
NVD REST APIで検証済み（公開日2026-10-14、CVSS 5.4 v3.1 / 5.3 v4.0、ステータスDeferred）。中国市場で広く使用されている管理フレームワークにおけるニッチだが具体的なAIモジュールSSRF。
なぜ重要か
ユーザー提供URLを取得するAI画像/コード生成エンドポイントは、AI Webアプリにおける繰り返し発生するSSRFクラスです。ここでは認証済みの低権限ユーザーがAIモジュールから内部ネットワークと忙しい管理プラットフォームのクラウドメタデータにピボットできます。
攻撃経路
AI画像生成サービスにおける認証済みSSRF（CWE-918）：攻撃者制御のreferImageUrlがホスト検証なしでサーバーサイドで取得され、応答が観察可能な内部/クラウドメタデータターゲットに到達します。
影響を受けるシステム
YunaiV/ruoyi-vue-pro 2026.09まで
緩和策
referImageUrlを許可リストに対して検証/解決し、プライベート/ループバック/メタデータアドレスを拒否し、AIサービスの出力を制限。Deferredステータスのためパッチ適用リリースを監視。