PT-2026-110144 · Shepherd · Shepherd
CVSS v3.1
3.1
منخفضة
| المتجه | AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Shepherd (shepherd-ai) الإصدارات السابقة لـ 0.3.2
الوصف
يوجد تجاوز للحماية من تزوير الطلبات عبر الخادم (SSRF) في ملحق citation-checker. تحدث هذه المشكلة لأن حارس
public url يتحقق من عنوان تم حله، ولكن دالة fetch تقوم بإعادة حل اسم المضيف عند وقت الاتصال. يتيح ذلك للمهاجمين الذين يتحكمون في نظام DNS الخاص برابط مرجعي مصمم بعناية داخل مستند يتم فحصه القيام بعملية DNS rebinding إلى عناوين داخلية. وبناءً على ذلك، يمكنهم إرسال طلبات GET إلى خدمات HTTP(S) داخلية والتقاط الاستجابات في ملفات الأدلة.التوصيات
تحديث Shepherd (shepherd-ai) إلى الإصدار 0.3.2 أو إصدار أحدث.
إصلاح
Time Of Check To Time Of Use
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Shepherd