PT-2026-1334
CVE-2025-61916
·
تاريخ النشر
2026-01-05
·
تاريخ التحديث
2026-02-23
الوصف من
CVSS 3.1
7.9
عاليةالمقاييسAV:L/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Spinnaker الأقدم من 2025.1.6
إصدارات Spinnaker الأقدم من 2025.2.3
إصدارات Spinnaker الأقدم من 2025.3.0
الوصف
يُعتبر Spinnaker، وهو منصة مفتوحة المصدر للتسليم المستمر عبر السحابة المتعددة، عرضة لتزوير الطلبات من جانب الخادم. وهذا يتيح للمستخدمين استرداد البيانات من عنوان URL بعيد، مما قد يؤدي إلى إدخالها في مسارات Spinnaker عبر أدوات مثل Helm. قد يؤدي ذلك إلى كشف البيانات الحساسة، بما في ذلك معلومات المصادقة (مثل بيانات المصادقة idmsv1 ورؤوس المصادقة الخاصة بـ GitHub) والوصول إلى واجهات برمجة التطبيقات (APIs) الداخلية لـ Spinnaker عبر طلبات GET. تتطلب هذه المشكلة تثبيت Spinnaker مع وجود عنصر تم تمكينه يقبل المدخلات من المستخدم، مثل عناصر الملفات من GitHub أو BitBucket أو GitLab أو عناصر HTTP. كما يلزم وجود نظام قادر على استهلاك مخرجات هذه العناصر. يتم استغلال الثغرة الأمنية عندما تسترد إحدى العناصر البيانات من عنوان URL، ثم يتم استخدام هذه البيانات داخل خط الأنابيب.
التوصيات
يجب تحديث الإصدارات الأقدم من 2025.1.6 إلى الإصدار 2025.1.6 أو أحدث.
يجب تحديث الإصدارات الأقدم من 2025.2.3 إلى الإصدار 2025.2.3 أو أحدث.
يجب تحديث الإصدارات الأقدم من 2025.3.0 إلى الإصدار 2025.3.0 أو أحدث.
قم بتعطيل أنواع حسابات HTTP التي تسمح للمستخدم بإدخال عنوان URL محدد.
استخدم سياسات Open Policy Agent (OPA) لـ
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾