PT-2026-144122
CVE-2026-79914
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
NocoBase الإصدارات من 2.1.0 إلى 2.1.14
Description
توجد مشكلة في المكون الإضافي
@nocobase/plugin-action-custom-request حيث يمكن لمستخدم مصرح له بصلاحيات منخفضة تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF). من خلال استدعاء نقطة النهاية customRequests:send ، يمكن للمهاجم تجاوز عنوان URL المخزن للطلب في وقت التشغيل باستخدام المتغير options.url. يسمح هذا باستخدام الخادم كوكيل شبكة موثوق لإرسال طلبات HTTP الخارجية إلى وجهات داخلية، أو بوابات مضيف Docker، أو نقاط نهاية بيانات cloud الوصفية، مما قد يؤدي إلى كشف الخدمات الداخلية.Recommendations
تحديث NocoBase إلى الإصدار 2.1.15.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية
customRequests:send للمسؤولين فقط.
قم بتكوين متغير البيئة SERVER REQUEST WHITELIST للحد من وجهات الطلبات الخارجية المسموح بها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾