PT-2026-33773
CVE-2026-34428
·
تاريخ النشر
2026-04-20
·
تاريخ التحديث
2026-04-20
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vvveb الأقدم من 1.0.8.1
الوصف
توجد مشكلة في الإجراء «oEmbedProxy» التابع للوحدة النمطية «editor/editor»، حيث يتم تمرير المعلمة
url مباشرةً إلى الدالة getUrl() عبر curl دون التحقق من صحة نظام العنوان أو الوجهة. يمكن للمستخدمين المصادق عليهم في الخلفية تقديم عناوين URL من نوع «file://» لقراءة ملفات عشوائية يمكن لعملية خادم الويب الوصول إليها، أو عناوين URL من نوع «http://» تستهدف عناوين الشبكة الداخلية لاستكشاف الخدمات الداخلية، مع إرجاع نصوص الاستجابة إلى المتصل. يُعد تزوير الطلبات من جانب الخادم (SSRF) عيبًا يتيح للمهاجم حث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود.التوصيات
قم بالتحديث إلى الإصدار 1.0.8.1 أو أحدث.
كحل مؤقت، قم بتقييد الوصول إلى الإجراء «oEmbedProxy» في الوحدة النمطية «editor/editor».
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾