CVE-2026-62175

اسم البرنامج المصاب والإصدارات المتأثرة praisonai الإصدار 4.6.63

Description تفشل واجهة برمجة تطبيقات Async Jobs في فرض المصادقة بشكل افتراضي، حيث يتم تفعيل برنامج الوسيط لمفتاح API فقط عند تعيين متغير البيئة PRAISONAI JOBS API KEY. يسمح هذا بالوصول غير المصرح به إلى نقطة النهاية POST /api/v1/runs ، حيث يمكن للمهاجم تقديم webhook url خبيثة عبر المعلمة webhook url. على الرغم من وجود أداة تحقق في الدالة validate webhook url() لحظر عناوين IP الخاصة، إلا أنها عرضة لثغرة DNS-rebinding من نوع Time-of-Check to Time-of-Use (TOCTOU). يقوم أداة التحقق بحل اسم المضيف في وقت الطلب، ولكن الدالة send webhook() تعيد حل اسم المضيف أثناء الاتصال الفعلي باستخدام httpx ، مما يسمح للطلبات بتجاوز الفلتر والوصول إلى الخدمات الداخلية. يؤدي هذا إلى حدوث طلبات مزورة من جانب الخادم (SSRF) عمياء وغير مصرح بها.

Recommendations بالنسبة للإصدار 4.6.63، يجب فرض المصادقة على Jobs API بشكل افتراضي عن طريق إنشاء رمز تلقائيًا أو إيقاف التشغيل عند الربط بعناوين غير متعلقة بالـ loopback. بالنسبة للإصدار 4.6.63، قم بتعديل معالجة webhook url لحل اسم المضيف مرة واحدة فقط، ورفض عناوين IP الخاصة أو loopback أو CGNAT أو عناوين البيانات الوصفية، ثم تثبيت الاتصال بهذا العنوان الذي تم التحقق منه مع تعطيل عمليات إعادة التوجيه.