PT-2026-39265
CVE-2026-44502
·
تاريخ النشر
2026-05-08
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Bugsink الأقدم من 2.1.3
الوصف
يؤدي عدم تطابق في تحليل عناوين URL إلى إمكانية تجاوز عملية التحقق من صحة عناوين URL الخاصة بـ webhook. استخدم النظام وظيفة
urllib.parse.urlparse في لغة Python للتحقق من الصحة، لكنه استخدم requests.post لإرسال الطلب. بالنسبة للمدخلات غير الصحيحة التي تحتوي على علامات مائلة عكسية و@، قد تتعارض هذه المكونات بشأن اسم المضيف المستهدف. وهذا يسمح لرابط URL بالظهور كاسم مضيف عام مدرج في قائمة المسموح بها أثناء عملية التحقق، بينما يتصل عميل HTTP بمضيف مختلف، مثل وجهات loopback أو خاصة أو غير مدرجة في قائمة المسموح بها. وينتج عن ذلك تزوير طلب من جانب الخادم (SSRF)، حيث يتم حث الخادم على إرسال طلب HTTP POST صادر غير مقصود.التوصيات
قم بالتحديث إلى الإصدار 2.1.3.
قم بتقييد أذونات المستخدمين القادرين على تكوين عناوين URL الخاصة بـ webhook أو تعديلها.
قم بمراجعة تكوينات webhook الحالية بحثًا عن عناوين URL غير صحيحة أو غير معتادة.
قم بتنفيذ سياسة شبكة صادرة خاضعة لرقابة صارمة على مستوى النشر.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾