PT-2026-136178
CVE-2026-121421
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L
اسم البرنامج المصاب والإصدارات المتأثرة
SurrealDB الإصدارات 3.1.0 through 3.2.x
Description
توجد مشكلة في مطابقة قدرات الشبكة حيث أن قواعد
--deny-net المحددة للمنافذ (بتنسيق HOST:PORT أو IP:PORT) تطابق فقط سلاسل المضيف الحرفية، بينما يتجاهل فحص IP المحلول المنفذ. يسمح هذا للمستخدمين المصرح لهم بتجاوز قيود الشبكة والوصول إلى الخدمات الداخلية المحظورة عن طريق استدعاء وظائف http::* باستخدام اسم مضيف يتم حله إلى IP محظور أو باستخدام IP الخاص باسم مضيف محظور. هذا يمثل ثغرة server-side request forgery، والتي تحدث عندما يحفز المهاجم تطبيقًا على جانب الخادم لإرسال طلبات إلى موقع غير مقصود.Recommendations
تحديث SurrealDB إلى الإصدار 3.3.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾