PT-2026-141133
CVE-2026-123814
·
تاريخ النشر
2026-10-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
pyLoad الإصدارات السابقة لـ 0.5.0b3.dev102
Description
يمكن لمستخدم مصادق عليه غير مسؤول يمتلك صلاحية
SETTINGS تنفيذ هجوم تزوير الطلبات عبر الخادم (SSRF). من خلال الوصول إلى نقطة النهاية /json/save config ، يمكن للمهاجم تكوين إضافة WindowsPhoneNotify عن طريق تعيين المتغيرات pushurl و pushid و enabled. تستخدم الدالة WindowsPhoneNotify.send() في src/pyload/plugins/addons/WindowsPhoneNotify.py مكتبة http.client.HTTPConnection ، والتي تتجاوز التحقق القياسي من الوجهة في التطبيق. عند اكتمال التنزيل، يرسل الخادم طلب HTTP POST أعمى إلى المضيف والمنفذ والمسار الداخلي الذي حدده المهاجم. يمكن استخدام ذلك لفحص الخدمات الداخلية، أو الوصول إلى نقاط نهاية بيانات cloud الوصفية (مثل 169.254.169.254) ، أو تحفيز نقاط نهاية HTTP داخلية تؤدي إلى تغيير الحالة.Recommendations
التحديث إلى الإصدار 0.5.0b3.dev102.
كإجراء تخفيف مؤقت، قم بتقييد صلاحية
SETTINGS للحسابات الموثوقة فقط.
تقييد وصول الشبكة لمضيف pyLoad لمنعه من الوصول إلى نقاط النهاية الداخلية الحساسة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾