PT-2026-110139 · Unknown · Speedtest-Tracker
CVSS v3.1
3.7
منخفضة
| المتجه | AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Speedtest Tracker الإصدارات السابقة لـ 1.15.1
الوصف
يسمح تجاوز قائمة السماح لعناوين IP للمهاجمين عن بُعد غير المصرح لهم بتجاوز قوائم السماح
ALLOWED IPS و Prometheus. يحدث هذا لأن ملف bootstrap/app.php يثق في كل نظير كوكيل (proxy)، مما يمكن المهاجمين من تزييف رؤوس X-Forwarded-For باستخدام عنوان مسموح به. نتيجة لذلك، يمكن للمستخدمين غير المصرح لهم الوصول إلى نقطة النهاية /prometheus لقراءة المقاييس والوصول إلى نقاط نهاية الويب و API المحمية الأخرى.التوصيات
تحديث Speedtest Tracker إلى إصدار أحدث من 1.15.0.
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Speedtest-Tracker