CVE.futuretools
FAQ
NVD NIST
CVE-2026-97875

DNS rebinding vulnerability in rojo serve HTTP API

CVSS 3.1High
8.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 7.7.0
Обновить Rojo до версии с принудительной проверкой заголовков Host/Origin и токенами авторизации либо ограничить биндинг доверенными локальными адресами.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость DNS rebinding в HTTP API сервиса rojo serve. Отсутствует проверка заголовков Origin и Host во входящих HTTP-запросах.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Локальный HTTP-сервер на TCP-порту 34872 не валидирует заголовки Host и Origin, позволяя сторонним веб-сайтам отправлять запросы к API через перепривязку DNS.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированное чтение исходного кода проекта, запись произвольных файлов на диск хоста и выполнение локальных программ через вызов opener::open().

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

rojo-rbxrojo
>= 0➔Fix: 7.7.0
——
>= 0.0.0-0➔Fix: 7.7.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-97875: DNS rebinding vulnerability in rojo serve HTTP API. URL: https://cve.futuretools.ru/cve/CVE-2026-97875
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_97875,
  title = {{CVE-2026-97875: DNS rebinding vulnerability in rojo serve HTTP API}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-97875}},
  note = {Оперативный инженерный анализ киберугроз}
}