PT-2026-34665
CVE-2026-41461
·
تاريخ النشر
2026-04-23
·
تاريخ التحديث
2026-04-27
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SocialEngine الأقدم من 7.8.1
الوصف
توجد ثغرة «تزوير الطلبات من جانب الخادم» (blind server-side request forgery) في نقطة النهاية ”/core/link/preview“. تحدث هذه المشكلة لأن المدخلات التي يقدمها المستخدم، والتي يتم تمريرها عبر معلمة الطلب
uri، لا تخضع لعملية تنقية قبل استخدامها في إنشاء طلبات HTTP الصادرة. يمكن للمهاجمين البعيدين المصادق عليهم تقديم عناوين URL عشوائية، بما في ذلك عناوين الشبكة الداخلية وعناوين الارتجاع (loopback)، مما يجبر الخادم على إرسال طلبات HTTP إلى وجهات يسيطر عليها المهاجمون. وهذا يسمح بتعداد الشبكة الداخلية والوصول إلى الخدمات غير المقصود أن تكون متاحة من الخارج.التوصيات
قم بالتحديث إلى إصدار أحدث من 7.8.0.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ”/core/link/preview“ أو تجنب استخدام المعلمة
uri حتى يتم تطبيق التصحيح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾