CVE-2026-55875

اسم البرنامج المصاب والإصدارات المتأثرة Helium الإصدارات السابقة لـ 2.2.60

الوصف يمكن للمستخدمين المصرح لهم إرسال رابط URL تعسفي إلى نقطة النهاية 'POST /feed/externalcalendars/'. يستخدم النظام الدالة validate url للتحقق من صيغة الرابط فقط قبل تمرير القيمة إلى urllib.request.urlopen وتعمل الدالة fetch ical conditional على إعادة جلب الرابط المخزن بشكل دوري. يسمح هذا للخادم بإرسال طلبات إلى مضيفين خارجيين أو داخليين يختارهم المهاجم. يمكن أن تكشف الاستجابات المختلفة، بما في ذلك حالة http.client.RemoteDisconnected غير المعالجة للخدمات غير التابعة لبروتوكول HTTP، عن إمكانية الوصول إلى المضيفين والمنافذ الداخلية، مما يتيح فرض طلبات خارجية واستطلاع الخدمات الداخلية.

التوصيات التحديث إلى الإصدار 2.2.60.