PT-2026-138429
CVE-2026-63441
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
4.9
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
2FAuth الإصدارات 6.1.0 through 7.9.9
Description
توجد مشكلة حيث أن الدالة
isPublicIp() ضمن AppServicesTraitsValidatesUrls لا تتعرف على بادئات NAT64 وهي 64:ff9b::/96 و 64:ff9b:1::/48. تقنية NAT64 هي آلية تسمح للعملاء الذين يعملون ببروتوكول IPv6 فقط بالتواصل مع الخوادم التي تعمل ببروتوكول IPv4 فقط. وبناءً على ذلك، يمكن لمعامل صورة URI من نوع otpauth تمرير حرف IPv6 أو عنوان مُصنع بواسطة DNS64 يكون هدفه IPv4 داخلياً، أو محلياً، أو مرتبطاً ببيانات وصف السحابة. في حالات النشر التي يتم فيها تفعيل جلب الصور مع وجود مسار ترجمة NAT64 إلى هدف IPv4 داخلي، يمكن لصاحب الحساب أو مهاجم خارجي تقديم URI مفخخ أو حمولة هجرة. تقوم الدالة buildFromRemoteImage() في IconService بعد ذلك بإرسال طلب HTTP GET إلى الهدف المدمج، مما يسمح باستعادة استجابات على شكل صور أو فحص نقاط نهاية أخرى بشكل أعمى.Recommendations
التحديث إلى الإصدار 8.0.0.
كإجراء تخفيف مؤقت، قم بتعطيل خاصية جلب الصور لمنع الدالة
buildFromRemoteImage() من إرسال طلبات إلى أهداف بعيدة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾