Уязвимость SSRF в Progress Sitefinity Next.js Renderer SDK (CVE-2026-92931)
В npm-пакете @progress/sitefinity-nextjs-sdk обнаружена уязвимость класса SSRF (CWE-918) с оценкой CVSS 8.8. Проблема затрагивает версии 15.1.8326–15.4.8637 и позволяет удалённому атакующему инициировать серверные запросы к подконтрольному хосту, что может привести к утечке конфиденциальной информации. Обновление настоятельно рекомендуется.
Подробности
Уязвимый компонент — пакет @progress/sitefinity-nextjs-sdk, применяемый для интеграции фронтенда на Next.js с платформой Sitefinity. Проблема затрагивает версии с 15.1.8326 по 15.4.8637 включительно. Согласно описанию, при определённых условиях удалённый атакующий может заставить серверную часть приложения выполнять HTTP-запросы к произвольно заданному хосту, находящемуся под контролем злоумышленника. Это классический сценарий SSRF: сервер выступает в роли прокси, инициируя обращения к внутренним или внешним ресурсам от своего имени. Успешная эксплуатация может привести к раскрытию конфиденциальной информации — например, данных, доступных только из внутренней сети, метаданных облачных окружений, токенов или служебных эндпоинтов, недоступных извне. Оценка CVSS 8.8 (HIGH) отражает серьёзность последствий и относительно невысокую сложность атаки. Для эксплуатации, как правило, не требуются учётные данные — достаточно возможности влиять на URL, обрабатываемый уязвимым кодом SDK.Что делать
Рекомендуется в первую очередь проверить, использует ли ваш проект пакет @progress/sitefinity-nextjs-sdk, и уточнить его текущую версию. Если она попадает в диапазон 15.1.8326–15.4.8637, необходимо как можно скорее обновиться до исправленной версии, выпущенной производителем (сведения о конкретной безопасной версии следует уточнить у Progress Software и в официальных каналах сопровождения продукта). Если обновление невозможно в кратчайшие сроки, стоит применить временные меры защиты: — ограничить на уровне сети исходящие запросы серверной части приложения, разрешив обращения только к доверенным хостам (whitelist); — заблокировать доступ к внутренним диапазонам адресов и к эндпоинтам облачных метаданных (например, 169.254.169.254) на сетевом уровне; — настроить валидацию и санитизацию всех URL, поступающих из пользовательского ввода или внешних источников, до их обработки SDK; — включить журналирование исходящих HTTP-запросов для своевременного выявления подозрительной активности. Также рекомендуется провести проверку журналов на предмет признаков эксплуатации уязвимости до момента обновления. Итог: CVE-2026-92931 — серьёзная SSRF-уязвимость в @progress/sitefinity-nextjs-sdk, затрагивающая широкий диапазон версий. Учитывая высокий CVSS, обновление пакета и сетевые ограничения исходящего трафика должны стать приоритетом для команд, использующих данный SDK в продакшене.Источник: CVE Project (cvelistV5)