PT-2026-55981
CVE-2026-58404
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-07-24
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hugo من 0.162.0 إلى 0.163.0
الوصف
تفشل سياسة
security.http.urls الافتراضية في حظر الطلبات الموجهة إلى عناوين IPv4 الثابتة الخاصة بـ loopback والعناوين الداخلية وعناوين بيانات التعريف السحابية بشكل صحيح، لأن قاعدة الحظر لا تتطابق إلا مع الترميز العشري المنقط. ونتيجة لذلك، تتجاوز الترميزات البديلة لعناوين IPv4، مثل الترميز الصحيح أو السداسي العشري أو الثماني، هذه السياسة. وعندما يقدم قالب ما عنوان URL غير موثوق به أو مشتق من البيانات إلى دالة resources.GetRemote() وتستخدم منصة المضيف محلل نظام cgo، فإن هذه الترميزات تُحل إلى عناوين محظورة. وهذا يسمح للطلبات غير المصرح بها من جانب الخادم في وقت البناء بالوصول إلى خدمات loopback والخدمات الداخلية، بما في ذلك نقاط نهاية بيانات السحابة في عمليات البناء المستضافة أو عمليات البناء في بيئة التكامل المستمر (CI). ينطبق هذا التجاوز أيضًا على كل نقطة إعادة توجيه حيث يتم إعادة استخدام نفس الفحص.التوصيات
قم بالتحديث إلى الإصدار 0.163.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾