PT-2026-23082
CVE-2026-2836
·
تاريخ النشر
2026-03-04
·
تاريخ التحديث
2026-03-12
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Pingora الأقدم من 0.8.0
الوصف
توجد مشكلة تسمم ذاكرة التخزين المؤقت في البنية القياسية لمفتاح ذاكرة التخزين المؤقت في إطار عمل بروكسي HTTP Pingora. يقوم التنفيذ القياسي لمفتاح ذاكرة التخزين المؤقت HTTP بإنشاء مفاتيح باستخدام مسار URI فقط، مع استبعاد رأس Host، مما قد يؤدي إلى تسمم ذاكرة التخزين المؤقت وتقديم استجابات من مصادر متقاطعة للمستخدمين. وقد يتيح ذلك للمهاجم إحداث تسرب للبيانات بين المستأجرين في عمليات النشر متعددة المستأجرين أو تقديم محتوى ضار للمستخدمين الشرعيين عن طريق تسميم إدخالات ذاكرة التخزين المؤقت المشتركة.
التوصيات
قم بالتحديث إلى الإصدار 0.8.0 أو أعلى من Pingora، الذي يزيل التنفيذ غير الآمن لمفتاح ذاكرة التخزين المؤقت الافتراضي. يجب على المستخدمين تنفيذ دالة استدعاء خاصة بهم تتضمن عوامل مناسبة، مثل رأس «Host» ومخطط HTTP للطرف المتصل الأعلى.
إذا تعذر التحديث، فقم بإزالة أي استخدام افتراضي لـ CacheKey وقم بتنفيذ حل مخصص يتضمن رأس «Host» ومخطط HTTP للطرف المتصل الأعلى.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾