PT-2026-138048
CVE-2026-112337
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Wazuh الإصدارات من 3.7.0 إلى 4.14.8
Description
توجد ثغرة تزوير طلبات من جانب الخادم (SSRF) في دالة
get graph events() الخاصة بـ Azure wodle. تقوم الدالة بتتبع المتغير @odata.nextLink دون التحقق من المضيف أو بروتوكول HTTPS. يتيح ذلك للمهاجمين الذين يمكنهم التأثير على قيمة @odata.nextLink إعادة توجيه طلبات المدير إلى نقاط نهاية يسيطر عليها المهاجم، مما يؤدي إلى التقاط رمز حامل (bearer token) الخاص بـ Microsoft Graph وإمكانية الوصول إلى الخدمات الداخلية.Recommendations
التحديث إلى الإصدار 4.14.9 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد استخدام دالة
get graph events() في Azure wodle.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾