CVE-2026-22662

إصدارات prompts.chat السابقة للالتزام رقم 1464475

يمكن للمستخدمين المصادق عليهم استغلال ثغرة «تزوير الطلبات من جانب الخادم الأعمى» (SSRF) في مُنشئ الوسائط Wiro. ويحدث ذلك عندما يقوم التطبيق باسترداد المعلمة inputImageUrl التي يتحكم فيها المستخدم من جانب الخادم. من خلال إرسال طلبات POST إلى نقطة النهاية ’/api/media-generate‘، يمكن للمهاجمين استكشاف الشبكات الداخلية، والوصول إلى الخدمات الداخلية، وتسريب البيانات عبر خدمة Wiro الأساسية دون تلقي نصوص استجابة مباشرة. تعد ثغرة SSRF العمياء نوعًا من الثغرات الأمنية التي لا يستطيع فيها المهاجم رؤية الاستجابة من الخادم الذي يستهدفه، ولكنه لا يزال قادرًا على استنتاج المعلومات بناءً على سلوك الخادم.

تحديث prompts.chat إلى الإصدار 1464475 أو أحدث.

تجنب استخدام المعلمة inputImageUrl في نقطة النهاية ’/api/media-generate‘ حتى يتم تطبيق التحديث.