PT-2026-144979
CVE-2026-64686
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
5.0
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenSearch Dashboards الإصدارات من 2.14.0 إلى 2.19.5
OpenSearch Dashboards الإصدارات من 3.0.0 إلى 3.6.9
Description
يمكن للمستخدم المصرح له تنفيذ هجوم تزوير الطلبات عبر الخادم (SSRF) من خلال مسار 'fetchDataSourceMetaData'. بينما يقوم مسار 'test connection' بالتحقق من صحة عناوين URL للنقاط الطرفية باستخدام دالة
isValidURL() مقابل قوائم endpointDeniedIPs و endpointAllowlistedSuffixes المكونة، فإن مسار 'fetchDataSourceMetaData' يقبل نفس شكل المدخلات دون إجراء هذا التحقق. يتيح ذلك للمهاجم تقديم نقطة طرفية داخلية أو نقطة اتصال راجعة (loopback) لاستكشاف موارد الشبكة الداخلية.Recommendations
تحديث OpenSearch Dashboards الإصدارات من 2.14.0 إلى 2.19.5 إلى الإصدار 2.19.6.
تحديث OpenSearch Dashboards الإصدارات من 3.0.0 إلى 3.6.9 إلى الإصدار 3.7.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾