CVE-2026-46526

إصدارات local-deep-research الأقدم من 1.6.10

ثغرة منطقية في آلية فحص عناوين URL تسمح للمهاجمين بتجاوز مرشحات الأمان، مما يؤدي إلى تزوير الطلبات من جانب الخادم (SSRF). يستخدم البرنامج دالة validate url لإجراء فحوصات أمنية على جزء المضيف من عنوان URL الذي يتم استخراجه بواسطة urlparse. ومع ذلك، يوجد تباين بين الطريقة التي تقوم بها urlparse ومكتبة requests بتحليل عناوين URL. على سبيل المثال، في دالة safe get()، قد تحدد validate url أن عنوان URL يشير إلى عنوان IP عام، في حين تفسر requests.get نفس عنوان URL على أنه يشير إلى عنوان داخلي. يحدث هذا لأن urlparse قد تعامل أحرفًا معينة، مثل الخطوط المائلة العكسية، كأحرف عادية، في حين أن requests قد تعاملها كأحرف مسار، مما يسمح للمهاجم بإعادة توجيه الطلبات إلى موارد الشبكة الداخلية.

قم بالترقية إلى الإصدار 1.6.10 أو أحدث.