PT-2026-141186
CVE-2026-125363
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
MikroDash الإصدارات السابقة لـ 0.8.79
Description
يمكن لأي مستخدم مسجل دخوله، بما في ذلك المستخدمون الذين لديهم دور المشاهد، تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) من خلال قنوات الإشعارات. يحدث هذا عندما يقوم المهاجمون بتكوين وجهات webhook أو البريد الإلكتروني لاستهداف عناوين loopback أو LAN أو link-local. ومن خلال استدعاء endpoint 'POST /api/notify-channels/{id}/test'، يمكن للمهاجم فحص الشبكة الداخلية.
Recommendations
تحديث MikroDash إلى الإصدار 0.8.79 أو إصدار أحدث.
تقييد الوصول إلى endpoint 'POST /api/notify-channels/{id}/test' لتقليل مخاطر فحص الشبكة الداخلية.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾