PT-2026-122152
CVE-2026-115810
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Tandoor Recipes الإصدارات السابقة لـ 2.7.0
Description
يحتوي مستورد Pestle على مشكلة تزوير الطلبات من جانب الخادم (SSRF)، والتي تحدث عندما يتم خداع الخادم لإرسال طلبات إلى موقع غير مقصود. يمكن للمستخدمين الموثقين ذوي الصلاحيات المنخفضة إجبار الخادم على إصدار طلبات GET إلى مضيفات داخلية أو خارجية عشوائية عن طريق صياغة عنوان URL لصورة خبيثة في ملف استيراد JSON الخاص بـ Pestle. يحدث هذا لأن الدالة
requests.get() في cookbook/integration/pestle.py تتجاوز فلتر SSRF المركزي، مما يسمح للمهاجمين بالوصول إلى نقاط النهاية الداخلية فقط، وإجراء اكتشاف للمنافذ والخدمات، واستخراج الاستجابات الداخلية عبر صورة الوصفة المخزنة.Recommendations
التحديث إلى الإصدار 2.7.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾