CVE-2026-92804

Nango 0.70.4 sürümüne kadar, çağırıcı tarafından sağlanan bağlantı yapılandırma değerlerini sağlayıcı token ve proxy URL şablonlarına eklerken doğrulamada başarısız olur. Kimliği doğrulanmış saldırganlar, sunucu isteklerini iç adreslere veya bulut meta veri uç noktalarına yönlendirmek için kötü amaçlı yapılandırma değerleri sağlayabilir ve potansiyel olarak sağlayıcı kimlik bilgilerini çıkarmaya çalışabilir.

Referanslar

• https://github.com/NangoHQ/nango
• https://github.com/NangoHQ/nango/blob/v0.70.4/packages/shared/lib/utils/utils.ts
• https://github.com/NangoHQ/nango/security/advisories/GHSA-hgjm-c252-ccxx
• https://www.vulncheck.com/advisories/nango-through-0.70.4-server-side-request-forgery-via-configuration