PT-2026-28586
CVE-2026-33992
·
تاريخ النشر
2026-03-27
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pyLoad السابقة للإصدار 0.5.0b3.dev97
الوصف
يقبل محرك التنزيل في pyLoad عناوين URL عشوائية دون التحقق من صحتها، مما يتيح شن هجمات تزوير الطلبات من جانب الخادم (SSRF). يمكن للمهاجم الذي تمت مصادقته استغلال هذه الثغرة للوصول إلى خدمات الشبكة الداخلية وسرقة البيانات الوصفية لمزود الخدمة السحابية. على قطرات DigitalOcean، يؤدي ذلك إلى كشف بيانات البنية التحتية الحساسة بما في ذلك معرّف القطرة، وتكوين الشبكة، والمنطقة، ومفاتيح المصادقة، ومفاتيح SSH المُكوّنة في user-data/cloud-init. توجد الثغرة الأمنية في وظيفة حزمة التنزيل التي يمكن الوصول إليها عبر نقطة النهاية
/api/addPackage، حيث يتم تمرير عناوين URL التي يزودها المستخدم إلى محرك التنزيل دون التحقق من صحتها. يقع الكود المتأثر في src/pyload/webui/app/blueprints/api blueprint.py. يقبل محرك التنزيل الموجود في src/pyload/core/managers/download.py أي نظام عناوين URL ويطلق طلبات HTTP إلى وجهات عشوائية. يتضمن استغلال الثغرة إرسال عنوان URL ضار، مثل http://169.254.169.254/metadata/v1.json، لاسترداد البيانات الوصفية للسحابة. وقد يؤدي ذلك إلى سرقة البيانات الوصفية للسحابة، والتحرك الجانبي، وكشف بيانات الاعتماد، ورسم خريطة البنية التحتية.التوصيات
الإصدارات السابقة لـ 0.5.0b3.dev97: قم بالتحديث إلى الإصدار 0.5.0b3.dev97 أو أحدث.
قم بتنفيذ التحقق من صحة عناوين URL في محرك التنزيل.
أدرج أنماط عناوين URL المسموح بها في القائمة البيضاء (http/https فقط).
احظر الطلبات الموجهة إلى نطاقات عناوين IP الخاصة (RFC 1918، عناوين link-local).
احظر نقاط نهاية البيانات الوصفية السحابية (169.254.16
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾