무슨 일이 있었나
NVD REST API를 통해 검증됨(2026-10-14 게시, CVSS 5.4 v3.1 / 5.3 v4.0, 상태: Deferred). 중국 시장에서 널리 사용되는 관리 프레임워크의 틈새지만 구체적인 AI 모듈 SSRF.
왜 중요한가
사용자 제공 URL을 가져오는 AI 이미지/코드 생성 엔드포인트는 AI 웹 앱에서 반복되는 SSRF 클래스입니다. 여기서는 인증된 낮은 권한 사용자가 AI 모듈에서 바쁜 관리 플랫폼의 내부 네트워크와 클라우드 메타데이터로 피벗할 수 있습니다.
공격 경로
AI 이미지 생성 서비스의 인증된 SSRF(CWE-918): 공격자가 제어하는 referImageUrl이 호스트 검증 없이 서버 측에서 가져와 내부/클라우드 메타데이터 대상에 도달하며 응답을 관찰할 수 있습니다.
영향받는 시스템
YunaiV/ruoyi-vue-pro 2026.09까지
완화 방안
referImageUrl을 허용 목록에 대해 검증/확인하고, 개인/루프백/메타데이터 주소를 거부하며, AI 서비스 이그레스를 제한하세요. Deferred 상태를 고려하여 패치 릴리스를 주시하세요.