CVE-2026-107460

اسم البرنامج المصاب والإصدارات المتأثرة Apache Fesod (Incubating) fesod-sheet الإصدار 2.0.2-incubating

Description يعاني مكون UrlImageConverter من ثغرة تزوير الطلبات عبر الخادم (SSRF) من خلال تجاوز حماية DNS rebinding. يحدث هذا عندما يقبل التطبيق رابط صورة يتحكم فيه المهاجم لكتابة الجداول البيانات؛ حيث يقوم المحول بالتحقق من عناوين IP التي تم تحليل اسم المضيف إليها، ثم يفتح اتصالاً منفصلاً قد يقوم بتحليل اسم المضيف مرة أخرى. يمكن للمهاجم الذي يتحكم في استجابات DNS توجيه الاتصال إلى عنوان مقيد بعد عملية التحقق الأولية.

Recommendations التحديث إلى الإصدار 2.1.0-incubating. في حال تفعيل ميزة جلب الصور من روابط URL عن بُعد، يجب السماح فقط بأسماء المضيفين الذين تكون خدمات DNS و HTTP الخاصة بهم موثوقة.