CVE-2026-94028: SSRF-уязвимость в Mealie до версии 3.25.1

В популярной платформе для ведения рецептов Mealie обнаружена уязвимость, получившая идентификатор CVE-2026-94028. Она относится к классу серверной подделки запросов (Server-Side Request Forgery, SSRF) и уже имеет публично доступный эксплойт, что повышает риск её практического использования.

Подробности

Уязвимость затрагивает продукты mealie-recipes Mealie вплоть до версии 3.25.1 включительно. Проблема локализована в функции payload.model_dump файла mealie/routes/households/controller_group_recipe_actions.py, относящегося к компоненту Recipe Action Trigger. Манипулируя аргументом url, злоумышленник может инициировать серверные запросы к произвольным адресам, что типично для SSRF-атак.

Атака может быть выполнена удалённо, без предварительного доступа к системе. Уязвимости присвоена базовая оценка CVSS 5.3, что соответствует среднему уровню критичности. Тем не менее наличие публичного эксплойта существенно повышает вероятность эксплуатации, особенно в системах, доступных из интернета.

SSRF-уязвимости дают возможность атакующему обращаться от имени сервера к внутренним ресурсам — например, к административным интерфейсам, метаданным облачных сред или служебным эндпоинтам. Это может привести к утечке конфиденциальных данных или создать предпосылки для дальнейшего проникновения в инфраструктуру.

Что делать

Разработчики устранили проблему в версии 3.26.0. Патч имеет идентификатор fb221afa258c8dd2c4ac95b1996c33ef9db3f477. Рекомендуется обновить Mealie до указанной версии или более поздней.

Если обновление на данный момент невозможно, следует рассмотреть временные меры защиты: ограничить сетевой доступ к экземпляру Mealie, не предоставлять сервису неограниченный доступ к внутренним сетям, а также фильтровать исходящие запросы на уровне firewall или прокси. Также целесообразно проверить логи на предмет подозрительных исходящих обращений.

Уязвимость CVE-2026-94028 в Mealie относится к среднему уровню критичности, однако публичная доступность эксплойта делает её значимой для администраторов, использующих уязвимые версии. Наиболее надёжным решением является обновление до 3.26.0. При отсутствии такой возможности необходимы компенсирующие меры сетевой изоляции и контроля исходящего трафика.

Источник: CVE Project (cvelistV5)