PT-2026-57545
CVE-2026-15500
·
تاريخ النشر
2026-07-12
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 2.0
6.5
متوسطةالمقاييسAV:N/AC:L/Au:S/C:P/I:P/A:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AstrBot من AstrBotDevs الأقدم من 4.25.3
الوصف
يوجد ثغرة تزوير الطلبات من جانب الخادم (SSRF) في نقطة النهاية
market list. تحدث هذه الثغرة داخل الدالة get online plugins() الموجودة في الملف astrbot/dashboard/routes/plugin.py. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق التلاعب بالمعلمة custom registry، مما يسمح للخادم بإجراء طلبات غير مصرح بها.التوصيات
قم بتحديث AstrBotDevs AstrBot إلى إصدار أحدث من 4.25.2.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية
market list أو تجنب استخدام الحجة custom registry حتى يتم تحديث البرنامج.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾