PT-2026-145449
CVE-2026-103980
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
ideon الإصدارات السابقة لـ 0.9.6
Description
يمكن للمستخدم المصرح له تجاوز حماية تزوير الطلبات عبر الخادم (SSRF) في دالة
safeFetch. تفشل دالة isPrivateIP() في src/app/lib/ssrf.ts في التعرف على العديد من عناوين انتقال IPv6 التي تدمج عناوين IPv4 خاصة، بما في ذلك ترميزات IPv4-mapped (::ffff:)، و NAT64 well-known (64:ff9b::/96)، و NAT64 local-use (64:ff9b:1::/48)، و 6to4 (2002::/16)، و Teredo (2001::/32). يسمح هذا للمهاجم باستخدام هذه العناوين في روابط URL للوصول إلى نقاط نهاية بيانات cloud الوصفية (169.254.169.254)، وخدمات localhost، وشبكات RFC 1918 الداخلية من خلال جالب البيانات لمعاينة الروابط.Recommendations
التحديث إلى الإصدار 0.9.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾