Уязвимость SSRF в SciPhi-AI R2R (CVE-2026-105148) затрагивает версии до 3.6.6

Исследователи безопасности сообщили об уязвимости в популярном фреймворке для построения RAG-систем SciPhi-AI R2R. Проблема затрагивает обработку параметра generation_config.api_base и позволяет злоумышленнику выполнять запросы от имени сервера к произвольным адресам, что классифицируется как Server-Side Request Forgery (SSRF).

Подробности

Уязвимость получила идентификатор CVE-2026-105148 и оценку CVSS 6.9 (MEDIUM). Уязвимый код расположен в файле py/shared/abstractions/llm.py и относится к компоненту Retrieval Completion API Endpoint. Затрагиваются версии SciPhi-AI R2R вплоть до 3.6.6 включительно.

Атака возможна удалённо: манипулируя значением аргумента generation_config.api_base, злоумышленник может заставить сервер отправить запрос на подконтрольный ему ресурс. Это позволяет как минимум проводить разведку внутренней сети, обращаться к сервисам, доступным только изнутри инфраструктуры, и потенциально взаимодействовать с облачными метаданными или внутренними API. Эксплуатация не требует аутентификации в целевой системе в том случае, если эндпоинт доступен извне.

Дополнительный риск создаёт тот факт, что эксплойт уже опубликован в открытом доступе и может быть использован злоумышленниками без значительной подготовки. Производитель был уведомлён об уязвимости на раннем этапе, однако, согласно описанию CVE, не ответил на обращение и не выпустил исправление.

Что делать

Поскольку официальный патч на момент публикации отсутствует, рекомендуется применять компенсирующие меры:

• Ограничить сетевой доступ к Retrieval Completion API Endpoint — не выставлять его в публичный интернет без необходимости, использовать аутентификацию и ACL на уровне reverse-proxy.
• Валидировать и жёстко ограничивать значения generation_config.api_base на стороне приложения: разрешать только доверенные домены и схемы, блокировать внутренние адреса (localhost, 127.0.0.0/8, 169.254.0.0/16, приватные подсети RFC 1918).
• Настроить сетевую изоляцию контейнеров и egress-фильтрацию, чтобы исходящие запросы сервиса шли только к разрешённым адресам.
• Включить детальное логирование обращений к API и мониторинг подозрительных исходящих соединений.
• Следить за обновлениями SciPhi-AI R2R: при выпуске версии с исправлением — обновиться в приоритетном порядке.

Уязвимость CVE-2026-105148 — показательный пример рисков, связанных с передачей пользовательских параметров в сетевые вызовы. Несмотря на средний уровень критичности, наличие публичного эксплойта и отсутствие ответа вендора повышают практическую опасность. Организациям, использующим SciPhi-AI R2R до версии 3.6.6, следует незамедлительно применить митигации и пересмотреть сетевую доступность соответствующих эндпоинтов.

Источник: CVE Project (cvelistV5)