Уязвимость SSRF в fit2cloud MeterSphere (CVE-2026-109189)

В продукте fit2cloud MeterSphere — платформе для непрерывного тестирования — выявлена уязвимость класса server-side request forgery (SSRF). Проблема затрагивает компонент Swagger3 Parser и позволяет злоумышленнику инициировать запросы от имени сервера к произвольным адресам. Поскольку эксплойт уже находится в открытом доступе, а вендор не отреагировал на уведомление, риск практического использования уязвимости существенно возрастает.

Подробности

Уязвимости подвержены версии fit2cloud MeterSphere вплоть до 3.6.9-lts включительно. Проблема локализована в функции Swagger3ParserApiDefinition.testUrlTimeout файла backend/parser/api/dataimport/Swagger3ParserApiDefinition.java, относящегося к компоненту Swagger3 Parser.

При обработке аргумента swaggerUrl приложение не выполняет должную проверку адреса, что позволяет манипулировать значением параметра и заставлять сервер отправлять запросы на произвольные внутренние или внешние ресурсы. Это классический сценарий SSRF: атакующий может обращаться к внутренним сервисам, облачным метаданным или иным защищённым узлам, недоступным напрямую извне.

Уязвимость имеет идентификатор CVE-2026-109189 и оценку CVSS 5.3 (MEDIUM). Эксплуатация возможна удалённо, без необходимости в локальном доступе. На момент публикации эксплойт уже является общедоступным. Производитель был заблаговременно уведомлён об обнаружении проблемы, однако не предоставил ответа.

Что делать

На текущий момент официальное исправление от вендора отсутствует, поскольку он не отреагировал на уведомление. В таких условиях рекомендуется применять компенсирующие меры:

• Ограничить сетевой доступ к экземплярам MeterSphere, не выставляя их в публичные сети без необходимости.
• Настроить фильтрацию исходящего трафика (egress-правила) таким образом, чтобы сервер приложений не мог обращаться к внутренним административным интерфейсам, метаданным облака и прочим чувствительным адресам.
• Валидировать и ограничивать значения параметра swaggerUrl на уровне обратного прокси или WAF, если это возможно в вашей инфраструктуре.
• Регулярно отслеживать обновления от fit2cloud и установить патч сразу после его выпуска.
• Провести аудит журналов на предмет подозрительных запросов, инициированных со стороны сервера MeterSphere.

Уязвимость CVE-2026-109189 представляет собой типичный, но оттого не менее опасный пример SSRF, усугублённый наличием публичного эксплойта и молчанием вендора. Организациям, использующим fit2cloud MeterSphere, следует без промедления оценить свою инфраструктуру на предмет подверженности и внедрить компенсирующие меры защиты, не дожидаясь официального патча.

Источник: CVE Project (cvelistV5)