PT-2026-57190
CVE-2026-60091
·
تاريخ النشر
2026-07-10
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI الأقدم من 4.6.78
الوصف
يوجد ثغرة في تزوير الطلبات من جانب الخادم (SSRF) دون مصادقة في نقطة نهاية واجهة برمجة تطبيقات المهام (Jobs API) ’/api/v1/runs‘. تحدث هذه المشكلة لأن المعلمة
webhook url يتم التحقق من صحتها أثناء الطلب الأولي، ولكن يتم إعادة تحديدها خلال مرحلة الاتصال. وهذا يسمح للمهاجمين باستخدام إعادة ربط DNS — وهي تقنية تُستخدم لتجاوز مرشحات الأمان عن طريق تغيير عنوان IP المرتبط باسم النطاق بين وقت التحقق من الصحة ووقت الاستخدام — لتنفيذ هجمات SSRF عمياء ضد الخدمات الداخلية.التوصيات
قم بتحديث PraisonAI إلى الإصدار 4.6.78 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/api/v1/runs‘ أو تجنب استخدام المعلمة
webhook url حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾