PT-2026-23080
CVE-2026-2833
·
تاريخ النشر
2026-03-04
·
تاريخ التحديث
2026-03-12
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Pingora الأقدم من 0.8.0
الوصف
توجد مشكلة تتعلق بتهريب طلبات HTTP (CWE-444) في معالجة تحديثات اتصال HTTP/1.1 بواسطة Pingora. تحدث المشكلة عندما يقرأ الوكيل (proxy) طلبًا يحتوي على رأس «Upgrade» ويقوم بتوجيه البايتات المتبقية من الاتصال إلى الخادم الخلفي (backend) قبل أن يقبل الخادم الخلفي الترقية. وهذا يسمح للمهاجم بإرسال حمولة ضارة بعد طلب يحتوي على رأس «Upgrade»، والذي قد يفسره الخادم الخلفي على أنه رأس لطلب لاحق، مما يؤدي إلى التحايل على ضوابط الأمان. قد يؤدي ذلك إلى التحايل على ضوابط قائمة التحكم في الوصول (ACL) على مستوى الوكيل ومنطق جدار الويب (WAF)، وتسميم ذاكرات التخزين المؤقتة والاتصالات الصاعدة، وتنفيذ هجمات عبر المستخدمين من خلال اختطاف الجلسات أو تهريب الطلبات. لم تتأثر البنية التحتية لشبكة توزيع المحتوى (CDN) الخاصة بـ Cloudflare. المكون المعرض للخطر هو معالجة رأس
Upgrade في طلبات HTTP.التوصيات
قم بالتحديث إلى الإصدار 0.8.0 أو أعلى من Pingora.
كبديل، قم بإرجاع خطأ للطلبات التي تحتوي على رأس
Upgrade في منطق تصفية الطلبات لوقف معالجة البايتات التي تتجاوز رأس الطلب وتعطيل إعادة استخدام الاتصالات المنبثقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾