PT-2026-23618
CVE-2026-30242
·
تاريخ النشر
2026-03-05
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Plane الأقدم من 1.2.3
الوصف
تتحقق عملية التحقق من صحة عنوان URL الخاص بـ webhook في
plane/app/serializers/webhook.py فقط مما إذا كان عنوان IP هو عنوان loopback، مما يسمح للمهاجمين الذين يمتلكون دور ADMIN في مساحة العمل بإنشاء webhooks موجهة إلى عناوين شبكة خاصة أو داخلية، مثل 10.x.x.x و172. 16.x.x و192.168.x.x و169.254.169.254. وعندما يتم تشغيل أحداث الويب هوك، يرسل الخادم طلبات إلى هذه العناوين الداخلية ويخزن الرد، مما يتيح حدوث تزوير طلبات من جانب الخادم (SSRF) مع قراءة كاملة للرد. قد يؤدي ذلك إلى تسرب البيانات الوصفية من السحابة، ومسح الخدمات الداخلية، وتسرب البيانات عبر سجلات الاستجابة.التوصيات
يجب تحديث الإصدارات الأقدم من 1.2.3 إلى الإصدار 1.2.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾