PT-2025-39389
CVE-2020-36851
·
تاريخ النشر
2025-09-25
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
9.5
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
cors-anywhere (الإصدارات المتأثرة غير محددة)
الوصف
تسمح مثيلات cors-anywhere التي تم تكوينها كوكيل مفتوح للمستخدمين الخارجيين غير المصادق عليهم بإرسال طلبات HTTP إلى أهداف عشوائية، مما يؤدي إلى تزوير الطلب من جانب الخادم (SSRF). يقوم الوكيل بتوجيه الطلبات والرؤوس، مما قد يتيح الوصول إلى نقاط نهاية داخلية حصرية وخدمات بيانات وصفية محلية. وقد يؤدي ذلك إلى استرداد بيانات اعتماد وظيفة المثيل أو بيانات وصفية حساسة أخرى، والتفاعل مع واجهات برمجة التطبيقات (APIs) والخدمات الداخلية. يتضمن الاستغلال إرسال طلبات مُعدَّلة إلى الوكيل مع ترميز المورد المستهدف في عنوان URL. قد تسمح عمليات النشر التي تقوم بتوجيه طرق ورؤوس تعريف عشوائية، بما في ذلك PUT، باستغلال سير عمل IMDSv2 والوصول إلى واجهات برمجة التطبيقات (APIs) الإدارية الداخلية. قد يؤدي الاستغلال الناجح إلى سرقة بيانات اعتماد السحابة، والوصول غير المصرح به إلى الخدمات الداخلية، وتنفيذ التعليمات البرمجية عن بُعد، وتصعيد الامتيازات، وتسريب البيانات، والاختراق الكامل لموارد السحابة.
التوصيات
قصر الوكيل على المصادر الموثوقة أو اشترط المصادقة.
استخدم قائمة السماح للمضيفات الهدف المسموح بها.
احظر الوصول إلى نطاقات IP المحلية والداخلية.
أزل الدعم لطرق وعناوين HTTP غير الآمنة.
قم بتمكين إجراءات التخفيف الخاصة بمزود الخدمة السحابية.
قم بتنفيذ إجراءات الحماية على مستوى
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾