@Nocobase/Plugin-Action-Custom-Request
توجد مشكلة في المكون الإضافي `@nocobase/plugin-action-custom-request` حيث يمكن لمستخدم مصرح له بصلاحيات منخفضة تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF). من خلال استدعاء نقطة النهاية `customRequests:send` ، يمكن للمهاجم تجاوز عنوان URL المخزن للطلب في وقت التشغيل باستخدام المتغير `options.url`. يسمح هذا باستخدام الخادم كوكيل شبكة موثوق لإرسال طلبات HTTP الخارجية إلى وجهات داخلية، أو بوابات مضيف Docker، أو نقاط نهاية بيانات cloud الوصفية، مما قد يؤدي إلى كشف الخدمات الداخلية.