PT-2026-56296
CVE-2026-53509
·
تاريخ النشر
2026-03-18
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
5.7
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات خادم CKAN MCP الأقدم من 0.4.106
الوصف
يحتوي البرنامج على ثغرة من نوع تزوير الطلبات من جانب الخادم (SSRF)، حيث يقوم بالتحقق من صحة عناوين URL التي يقدمها المتصل من خلال فحص سلسلة اسم المضيف التي تم تحليلها فقط قبل إصدار طلبات HTTP الصادرة. في ملف
src/utils/http.ts، تتجاوز أسماء المضيف المستعارة مثل ip6-localhost المرشح لأنها لا تتطابق مع localhost، وليست قيم IPv4 حرفية مفصولة بالنقاط، وليست قيم IPv6 حرفية بين قوسين، ومع ذلك يتم تحويلها إلى عناوين loopback أثناء الطلب. يمكن للمتصل عن بُعد الذي يستدعي أدوات مثل ckan package search وsparql query عبر معلمات server url أو base url أن يجبر الخادم على الاتصال بعناوين محلية أو خاصة واستلام البيانات المستمدة من الاستجابة.التوصيات
التحديث إلى الإصدار 0.4.106.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾