Уязвимость SSRF в 021is elvix-sdk (CVE-2026-108542)

В компоненте MCP Request Handler библиотеки 021is elvix-sdk выявлена уязвимость, позволяющая выполнять атаки типа server-side request forgery (SSRF). Проблема затрагивает функциональность файла src/mcp/index.ts, где обработка аргумента path не обеспечивает должной проверки входящих данных.

Подробности

Уязвимости подвержены версии 021is elvix-sdk вплоть до 0.10.1 включительно. При манипуляции аргументом path злоумышленник может инициировать от имени уязвимого сервиса произвольные запросы к внутренним или внешним ресурсам — классический сценарий SSRF. Это позволяет обращаться к внутренней инфраструктуре, обходить сетевые ограничения и в ряде случаев получать доступ к сервисам, не предназначенным для внешних клиентов.

Атака может быть выполнена удалённо, что существенно расширяет поверхность угрозы: для эксплуатации не требуется локальный доступ или аутентификация в целевой системе, если компонент MCP Request Handler доступен извне. Уязвимости присвоена оценка CVSS 5.3 (MEDIUM). Эксплойт на момент публикации уже стал общедоступным, что повышает риск практического использования. Производитель был уведомлён об уязвимости заблаговременно, однако не ответил на обращение, поэтому патч на текущий момент отсутствует.

Что делать

Поскольку официальное исправление от вендора не выпущено, рекомендуется принять компенсирующие меры:

• Ограничить сетевой доступ к компонентам, использующим 021is elvix-sdk, — не выставлять их в публичные сети без необходимости.
• Внедрить строгую валидацию и нормализацию аргумента path на уровне приложения: разрешать только явно заданный список допустимых значений или хостов (allowlist), блокировать обращения к внутренним адресам и метаданным облачных провайдеров.
• Настроить сетевые политики (egress-фильтрацию) для ограничения исходящих запросов процесса, использующего SDK.
• Отслеживать аномальные исходящие соединения и запросы к внутренним ресурсам в логах.
• Рассмотреть временный отказ от использования уязвимого компонента или переход на альтернативную библиотеку до выпуска патча.

Уязвимость CVE-2026-108542 относится к классу SSRF и представляет умеренный, но вполне реальный риск, особенно с учётом опубликованного эксплойта и отсутствия ответа от производителя. Основная угроза — несанкционированные запросы к внутренним сервисам через уязвимый компонент. До появления официального обновления защита строится на сетевой изоляции и строгой валидации входных данных. Компаниям, использующим 021is elvix-sdk, следует поставить данную уязвимость в приоритет для проверки и митигации.

Источник: CVE Project (cvelistV5)