PT-2026-37104
CVE-2026-40280
·
تاريخ النشر
2026-03-30
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 4.0
7.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gotenberg 8.30.1 والإصدارات الأقدم
الوصف
Gotenberg هي أداة لتحويل المستندات تعتمد على واجهة برمجة التطبيقات (API). تستخدم قوائم الحظر الافتراضية لعناوين IP الخاصة الخاصة بعلامتي
--webhook-deny-list و--api-download-from-deny-list تعبيرًا منتظمًا يراعي تمييز الأحرف الكبيرة والصغيرة لمطابقة أنماط عناوين URL. ونظرًا لأن الدالة net/url.Parse() تقوم بتوحيد نظام عناوين URL إلى الأحرف الصغيرة قبل إنشاء اتصال TCP صادر، يمكن للمهاجم تجاوز قائمة الحظر عن طريق كتابة جزء من نظام عناوين URL بأحرف كبيرة (على سبيل المثال، HTTP:// أو HTTPS:// أو Http://). وهذا يسمح للطلبات غير المصادق عليها بالوصول إلى خدمات الشبكة الداخلية، بما في ذلك نطاقات عناوين IP الخاصة، وعناوين الارتجاع (loopback)، ونقاط نهاية بيانات تعريف مثيلات السحابة. تتعلق هذه المشكلة بالدالة FilterDeadline() ومنطق معين داخل الملفين pkg/modules/webhook/webhook.go وpkg/modules/api/api.go.التوصيات
تحديث Gotenberg إلى الإصدار 8.31.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾