PT-2026-127182
CVE-2026-116680
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
HomeBox الإصدارات السابقة لـ 0.27.0
الوصف
يفشل HomeBox في إعادة التحقق من أهداف إعادة التوجيه عند إرسال الطلبات عبر مكتبة shoutrrr، حيث يستخدم
http.DefaultClient.Do بدون سياسة CheckRedirect. يمكن لعضو مجموعة مصرح له تكوين مضيف إشعارات مسموح به يقوم بإعادة التوجيه إلى loopback أو link-local أو بيانات وصفية سحابية أو وجهات محظورة أخرى، مما يؤدي إلى تجاوز سياسة تزوير الطلبات عبر الخادم (SSRF). تزوير الطلبات عبر الخادم (SSRF) هو خلل يجبر الخادم على إرسال طلبات إلى موقع غير مقصود. يمكن الوصول إلى هذه المشكلة من خلال نقطة النهاية 'POST /api/v1/notifiers/test' للطلبات الفورية ومن خلال الإشعارات المخزنة أثناء تسليم الصيانة المجدولة. يتضمن هذا الخلل الدالة ValidateNotifierURL.التوصيات
تحديث HomeBox إلى الإصدار 0.27.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾