PT-2026-57660 · Unknown · Misp-Modules
CVSS v4.0
8.3
عالية
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:M/U:Green |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
misp-modules (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة في الحماية من تزوير الطلبات من جانب الخادم (SSRF) في وحدة التوسيع
html to markdown. تفشل الوحدة في تطبيع عناوين IPv6 المخططة إلى IPv4 قبل مقارنتها بالنطاقات المحظورة لعناوين IP الخاصة بالارتجاع (loopback) والعناوين الخاصة وعناوين IP المحلية للرابط. يمكن لمهاجم تمت مصادقته تقديم عنوان IPv6 مخطط إلى IPv4 أو اسم مضيف يُحل إلى عنوان من هذا النوع لتجاوز هذه المرشحات. وهذا يسمح للخادم بالاتصال بخدمات الويب الداخلية أو واجهات الإدارة أو بيانات تعريف مثيلات السحابة، مع إرجاع المحتوى المسترد إلى المهاجم بصيغة Markdown المحولة.التوصيات
قم بالترقية إلى الإصدار المُصَحَّح الذي يعمل على تطبيع عناوين IPv6 المُخَطَّطة إلى IPv4 إلى تمثيلها الأساسي في IPv4 ويرفض عناوين URL التي لا تحتوي على اسم مضيف صالح.
استغلال
إصلاح
SSRF
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Misp-Modules