PT-2026-127180
CVE-2026-116678
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
5.8
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Vaultwarden الإصدارات السابقة لـ 1.37.0
Description
يفشل برنامج تنزيل الأيقونات في تطبيق فحص
should block host() على المضيف في المرحلة الثانية عند معالجة روابط favicon التي يتم تحليلها من HTML يتحكم فيه المهاجم ويتم تمريرها إلى get page with referer(). يسمح هذا لمهاجم عن بُعد غير مصرح له باستخدام رابط IP-literal في favicon لتجاوز تسوية المضيف وإجبار الخادم على الوصول إلى عناوين loopback أو عناوين خاصة وداخلية. تحدث هذه المشكلة في المثيلات التي تم فيها تمكين تنزيل الأيقونات الداخلية، ويمكن أن تؤدي إلى كشف استجابات داخلية أو الكشف عن إمكانية الوصول إلى الشبكة الداخلية من خلال التوقيت والحالة وسلوك التخزين المؤقت.Recommendations
التحديث إلى الإصدار 1.37.0.
تعطيل تنزيل الأيقونات الداخلية كإجراء تخفيف مؤقت.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾