Descripción
Wanderer es una base de datos de rutas autoalojada para guardar y compartir aventuras. En versiones anteriores a la 0.20.0, cuando PUBLIC_PRIVATE_INSTANCE no está configurado como true, el controlador no autenticado POST /api/v1/trail/download pasa el campo url del JSON, controlado por el atacante, directamente a event.fetch() y devuelve la respuesta obtenida. Esto permite realizar solicitudes a servicios internos como db:8090 y search:7700, a direcciones de metadatos de la nube y a otros destinos de red, lo que expone los datos devueltos y permite el reconocimiento de la red interna o una denegación de servicio (DoS). El problema está corregido en la versión 0.20.0.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- wanderer Afectadas: < 0.20.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/open-wanderer/wanderer/security/advisories/GHSA-7vqq-mjjr-…
- Referencia en github.comgithub.com/open-wanderer/wanderer/pull/1104
- Referencia en github.comgithub.com/open-wanderer/wanderer/commit/c371337b3db1d2895b5cad651046…
- Referencia en github.comgithub.com/open-wanderer/wanderer/releases/tag/v0.20.0
Ver el texto original en inglés (CVE.org)
Wanderer: SSRF Vulnerability in /api/v1/trail/download - Unvalidated URL Leads to Internal Network Access
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.20.0, when PUBLIC_PRIVATE_INSTANCE is not set to true, the unauthenticated POST /api/v1/trail/download handler passes the attacker-controlled JSON url field directly to event.fetch() and returns the fetched response. This allows requests to internal services such as db:8090 and search:7700, cloud metadata addresses, and other network destinations, exposing returned data and permitting internal network reconnaissance or denial of service. This issue is fixed in version 0.20.0.