PT-2026-30326
CVE-2026-35409
·
تاريخ النشر
2026-04-04
·
تاريخ التحديث
2026-04-06
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Directus الأقدم من 11.16.0
الوصف
يوجد ثغرة في Directus تسمح بتجاوز الحماية ضد تزوير الطلبات من جانب الخادم (SSRF). يمكن التحايل على عملية التحقق من عنوان IP المستخدمة لحجب الطلبات الموجهة إلى الشبكات المحلية والخاصة باستخدام صيغة عناوين IPv6 المقترنة بـ IPv4. فشلت آلية التحقق في توحيد عناوين IPv6 المقترنة بـ IPv4 قبل مقارنتها بقائمة الحظر، مما سمح للمهاجم بتجاوز هذا القيد. وقد يتيح ذلك لمستخدم تمت مصادقته (أو مستخدم لم تتم مصادقته إذا تم تمكين أذونات استيراد الملفات العامة) تنفيذ هجمات SSRF ضد الخدمات الداخلية أو نقاط نهاية بيانات تعريف مثيلات السحابة.
التوصيات
التحديث إلى الإصدار 11.16.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾