CVE-2026-55599

إصدارات phpseclib من 0.1.1 إلى 1.0.29

إصدارات phpseclib من 2.0.0 إلى 2.0.54

إصدارات phpseclib من 3.0.0 إلى 3.0.53

يسمح إعداد افتراضي غير آمن في المكتبة لمهاجم غير مصدق عليه بتنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF). عندما يقوم أحد التطبيقات بالتحقق من صحة شهادة X.509 غير موثوق بها، تقوم الدالة X509::validateSignature() بقراءة عنوان URL من ملحق الوصول إلى معلومات السلطة (AIA) الخاص بالشهادة وإقامة اتصال به. ونظرًا لأن استرداد عناوين URL ممكّن افتراضيًّا دون حظر الوجهة، يمكن للمهاجم التحكم في المضيف والمنفذ ومسار الاتصال للوصول إلى المضيفات والخدمات الداخلية، مثل عنوان loopback 127.0.0.1 أو عناوين البيانات الوصفية السحابية مثل 169.254.169.254.

التحديث إلى الإصدار 1.0.30.

قم بالتحديث إلى الإصدار 2.0.55.

قم بالتحديث إلى الإصدار 3.0.54.