CWE-918
MITRE Подделка серверных запросов
Server-Side Request Forgery (SSRF)
CWE-918 — подделка серверных запросов: код по переданному адресу сам обращается к внешнему узлу без проверки назначения. Ошибка проявляется в веб-приложениях и интеграционных сценариях, где адрес или URL приходит от пользователя, партнёрского API или вебхука. Злоумышленник добирается до внутренних узлов сети, облачных метаданных и административных интерфейсов, минуя сетевые ограничения.
Как защититься от CWE-918
Чтобы защититься от CWE-918, применяйте белый список разрешённых адресов и схем, отклоняя нестандартные порты, и проверяйте результат DNS-запроса перед соединением. Запрещайте запросы во внутренние сети, на диапазон loopback и к метаданным; перенаправления отключите, а если они нужны, разбирайте и проверяйте адрес после каждого. Выносите исходящие запросы в отдельный компонент с ограниченными сетевыми правами и логируйте адреса обращений.
Уязвимости с типом CWE-918 (50)
С
7.7Уязвимость компонента Azure Monitor платформы для мониторинга и наблюдения Grafana, позволяющая нарушителю осуществить S2026-10-27 С
5.7Уязвимость веб-платформы для совместной работы и управления документами Microsoft SharePoint Server Subscription Edition2026-10-13 В
9.6Уязвимость инструмента на базе искусственного интеллекта для автоматического анализа первопричин и эффективного реагиров2026-10-08 С
7.2Уязвимость веб-интерфейса управления программного средства автоматизации работы операторов Cisco Finesse, Cisco Unified 2026-10-07 К
10.0Уязвимость интерфейса Appliance WorkPlace микропрограммного обеспечения межсетевых экранов SonicWall SMA1000, позволяюща2026-10-06 В
9.9Уязвимость программной платформы для проведения маркетинговых кампании Adobe Campaign Classic, связанная с подделкой меж2026-09-22 В
9.6Уязвимость корпоративной платформы для создания, управления и обработки электронных форм, документов и бизнес-процессов 2026-09-22 В
9.6Уязвимость программной платформы для проведения маркетинговых кампании Adobe Campaign Classic, связанная с подделкой меж2026-09-22 В
9.9Уязвимость программной платформы для проведения маркетинговых кампании Adobe Campaign Classic, связанная с подделкой меж2026-09-22 В
8.7Уязвимость корпоративной платформы для создания, управления и обработки электронных форм, документов и бизнес-процессов 2026-09-22 С
7.1Уязвимость профессиональной программы нелинейного видеомонтажа Adobe Premiere Pro, связанная с недостаточной проверкой з2026-09-22 С
6.4Уязвимость функции Worksheet\Drawing::setPath() сценария src/PhpSpreadsheet/Worksheet/Drawing.php PHP-библиотеки PhpSpre2026-09-16 В
8.5Уязвимость набора инструментов Microsoft Power Platform, связанная с недостаточной проверкой запросов на стороне сервера2026-09-08 В
8.2Уязвимость редактора исходного кода Visual Studio Code, связанная с подделкой межсайтовых запросов, позволяющая нарушите2026-09-08 В
8.6Уязвимость программного средства для управления инфраструктурой центра обработки данных EcoStruxure IT Data Center Exper2026-09-08 В
7.5Уязвимость программы мгновенного обмена сообщениями Skype for Business Server, связанная с недостаточной проверкой запро2026-09-08 С
5.0Уязвимость веб-интерфейса на базе искуственного интеллекта Open WebUI, связанная с недостаточной проверкой запросов на с2026-08-29 С
6.5Уязвимость сервиса для управления проектами YouGile, связанная с недостаточной проверкой запросов на стороне сервера, по2026-08-26 К
10.0Уязвимость программной платформы для проведения маркетинговых кампании Adobe Campaign Classic, связанная с недостаточной2026-08-25 С
5.9Уязвимость компонента camel-docling java-фреймворка Apache Camel, позволяющая нарушителю осуществить SSRF-атаку и получи2026-08-22 В
7.5Уязвимость сервиса для управления проектами YouGile, связанная с недостаточной проверкой запросов на стороне сервера, по2026-08-21 В
8.2Уязвимость компонента camel-as2 java-фреймворка Apache Camel, позволяющая нарушителю обойти существующие механизмы безоп2026-08-21 К
10.0Уязвимость почтового сервера Microsoft Exchange Server, связанная с недостаточной проверкой запросов на стороне сервера,2026-08-20 В
9.9Уязвимость пакета для обеспечения совместимости Microsoft Azure Entra ID, связанная с недостаточной проверкой запросов н2026-08-20 В
10.0Уязвимость облачной реляционной базы данных Azure SQL Database, связанная с недостаточной проверкой запросов на стороне 2026-08-20 В
7.0Уязвимость файла lib/helpers/Http2Sessions.js библиотеки axios, позволяющая нарушителю обойти существующие механизмы без2026-08-12 С
4.7Уязвимость наборов библиотек Content Credentials SDK, связанная с недостаточной проверкой поступающих запросов, позволяю2026-08-11 В
8.7Уязвимость функций pathsec.urlopen(), nltk.data.load(), Downloader.index() и Downloader.download() пакета библиотек для 2026-08-11 В
9.1Уязвимость инструмента grafana_api_request прокси-сервера Grafana MCP Server платформы для мониторинга и наблюдения Graf2026-08-11 В
6.5Уязвимость программной платформы Microsoft .NET и средства разработки программного обеспечения Microsoft Visual Studio, 2026-08-11 С
6.9Уязвимость функции validate_network_url() пакета библиотек для символьной и статистической обработки естественного языка2026-08-07 В
8.7Уязвимость пространственных поисков GeoDjango программной платформы для веб-приложений Django, позволяющая нарушителю вы2026-08-04 В
8.6Уязвимость функции fsock_get_contents() файлового менеджера elFinder, позволяющая нарушителю раскрыть защищаемую информа2026-08-03 С
5.9Уязвимость функций net.fetch() и net.request() программной платформы для создания приложений Electron, позволяющая наруш2026-07-28 В
8.7Уязвимость функции isPublicIP() файла core/providers/utils/fetch.go программного средства синхронизации без данных Bifro2026-07-21 К
10.0Уязвимость интерфейса Appliance Work Place микропрограммного обеспечения межсетевых экранов SonicWall серии SMA 1000, по2026-07-14 В
9.6Уязвимость системы управления контентом и медиа-данными Adobe Experience Manager, связанная с недостаточной проверкой по2026-07-14 С
7.7Уязвимость программной платформы ColdFusion, связанная с недостаточной проверкой запросов на стороне сервера, позволяюща2026-07-14 С
8.2Уязвимость наборов библиотек Content Credentials SDK, связанная с недостаточной проверкой запросов на стороне сервера, п2026-07-14 С
6.3Уязвимость функции GetPullRequests() файла services/migrations/restore.go системы управления Git-репозиториями Gitea, по2026-07-13 С
6.5Уязвимость функции IsMigrateURLAllowed() файла services/migrations/migrate.go системы управления Git-репозиториями Gitea2026-07-13 В
8.5Уязвимость функции Clone() файла modules/git/repo.go системы управления Git-репозиториями Gitea, позволяющая нарушителю 2026-07-13 С
7.7Уязвимость функции (*HostMatchList).checkIP() файла modules/hostmatcher/hostmatcher.go и функции RedirectURL() файла mod2026-07-13 С
7.5Уязвимость функции Open() файла modules/uri/uri.go системы управления Git-репозиториями Gitea, позволяющая нарушителю ра2026-07-13 Н
3.1Уязвимость функции oauth2UpdateAvatarIfNeed() файла routers/web/auth/oauth.go системы управления Git-репозиториями Gitea2026-07-13 С
7.7Уязвимость метода webService() сценария Calculation/Web/Service.php PHP-библиотеки PhpSpreadsheet, позволяющая нарушител2026-07-12 В
7.0Уязвимость веб-интерфейса управления операционной системы PAN-OS, позволяющая нарушителю обойти существующие механизмы б2026-07-08 В
7.5Уязвимость функции VertxWebsocketConsumer.populateExchangeHeaders() компонента Vertx Websocket java-фреймворка Apache Ca2026-07-06 В
9.1Уязвимость компонента camel-solr java-фреймворка Apache Camel, позволяющая нарушителю получить несанкционированный досту2026-07-06 С
7.2Уязвимость почтового клиента RoundCube Webmail, связанная с недостаточной проверкой запросов на стороне сервера, позволя2026-07-05Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-918 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
