SSRF в NonceGeek dim-sum-app: уязвимость CVE-2026-94038 в Deno Backend

В open-source проекте NonceGeek dim-sum-app выявлена уязвимость класса Server-Side Request Forgery (SSRF), получившая идентификатор CVE-2026-94038. Проблема затрагивает серверную часть приложения, работающую на среде выполнения Deno. Поскольку эксплойт уже раскрыт публично, риск практического использования уязвимости существенно возрастает — злоумышленникам не требуется разрабатывать атаку самостоятельно.

Подробности

Уязвимость локализована в функции textSearchV2Handler файла deno/main.tsx, относящегося к компоненту Deno Backend. Причиной является недостаточная проверка аргумента supabase_url: манипулируя этим параметром, атакующий может заставить сервер выполнить произвольный HTTP-запрос к контролируемому или внутреннему ресурсу. Это классический сценарий SSRF, который потенциально позволяет обращаться к внутренней инфраструктуре, обходить сетевые ограничения и взаимодействовать со служебными сервисами, недоступными извне. Атака может быть проведена удалённо, без аутентификации на целевом хосте, что повышает её опасность. Уязвимости присвоена базовая оценка CVSS 6.9, соответствующая среднему (MEDIUM) уровню критичности. Уязвимый продукт — NonceGeek dim-sum-app; конкретный диапазон затронутых версий в записи CVE не уточняется, поэтому организациям следует ориентироваться на факт наличия уязвимого кода в используемой сборке.

Что делать

Разработчики выпустили исправление — патч с идентификатором 8389032e5d52c28c4855c6126ca7d0eae8af346a. Рекомендуется как можно скорее применить его к своей кодовой базе или обновить dim-sum-app до версии, содержащей данное исправление. Если немедленное обновление невозможно, в качестве временных мер защиты стоит рассмотреть:

• строгую валидацию и whitelisting значений параметра supabase_url, исключающую обращение к произвольным адресам;
• блокировку исходящих запросов серверной части к внутренним подсетям и служебным метаданным (например, диапазонам 169.254.0.0/16, 127.0.0.0/8, приватным сетям);
• ограничение сетевого доступа сервиса Deno Backend на уровне инфраструктуры (сегментация, egress-фильтрация);
• мониторинг аномальных исходящих соединений от приложения.

Итог: CVE-2026-94038 — умеренно опасная, но уже публично раскрытая SSRF-уязвимость в NonceGeek dim-sum-app. Наличие готового эксплойта и удалённый характер атаки делают применение официального патча приоритетной задачей для всех, кто использует данный проект.

Источник: CVE Project (cvelistV5)