在 OPeNDAP Hyrax 软件解决方案中发现了一个漏洞。该漏洞允许远程攻击者致使应用程序与未经授权的远程系统进行通信。此漏洞被归类为服务器端请求伪造（SSRF）和凭据泄露问题。其根源在于未经验证的 HTTP 重定向绕过了正常的安全检查。Hyrax 未能将重定向目标重新验证至其 AllowedHosts 列表。因此，攻击者可诱使其连接至不受信任或内部网络。此外，用户身份验证令牌（如 Echo-Token）可能被泄露至攻击者控制的端点。成功利用该漏洞可使攻击者访问本不应公开的内部服务。若用户已认证，其凭据也可能遭到泄露。建议管理员审查允许的主机配置，并限制网关端点的暴露范围。OPeNDAP 预计很快发布补丁，版本可能在 1.18.0 或更高版本中。