PT-2026-137105
CVE-2026-63183
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OmniAuth الإصدارات السابقة لـ 2.2.0
Description
يقوم OmniAuth باشتقاق روابط استدعاء المزود (callback URLs) من معلومات المضيف التي يتم التحكم فيها عبر الطلب عندما لا يتم تكوين
full host ثابت أو التحقق من المضيف الوارد على مستوى الإطار البرمجي. يمكن لعميل عن بُعد غير مصرح له تقديم رأس مضيف (Host header) مزور، مما يؤدي إلى مخاطر حقن رأس المضيف في التطبيقات التي لا يقوم إطار عمل الويب الخاص بها بالتحقق من رؤوس المضيف الواردة.Recommendations
التحديث إلى الإصدار 2.2.0.
تكوين
full host ثابت.
تنفيذ التحقق من المضيف الوارد على مستوى الإطار البرمجي، مثل تفويض المضيف في Rails. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾