PT-2026-138428
CVE-2026-63440
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
2FAuth الإصدارات السابقة لـ 8.0.0
Description
توجد مشكلة في مسار جلب صور otpauth حيث يتم التحقق من اسم المضيف باستخدام
ValidatesUrls::isExternalHost() ثم يتم تحليله مرة أخرى بواسطة IconService::storeRemoteImage() لطلب HTTP. عندما يكون جلب صور otpauth الخارجية مفعلاً، يمكن للمستخدم المصرح له الذي يتحكم في DNS موثوق ذو TTL منخفض تقديم عنوان عام أثناء مرحلة التحقق وعنوان داخلي أثناء مرحلة الاتصال. يسمح هذا للمستخدم بتجاوز قائمة حظر العناوين الخاصة والوصول إلى نقاط نهاية loopback أو الشبكة الخاصة أو link-local أو نقاط نهاية بيانات cloud metadata.Recommendations
التحديث إلى الإصدار 8.0.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾