PT-2026-60199
CVE-2026-45806
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Penpot الأقدم من 2.15.0
الوصف
يمكن لمحرر الملفات المصرح له الوصول إلى نقاط النهاية المخصصة للاستخدام الداخلي فقط من خلال ميزة استيراد الصور عن بُعد. يقوم التطبيق بتمرير عنوان URL يتحكم فيه المستخدم من الواجهة الأمامية إلى طريقة RPC الخلفية :create-file-media-object-from-url، والتي تستخدم بدورها وظيفة media/download-image. ونظرًا لعدم وجود تصفية للوجهة في عميل HTTP المشترك، فإن ذلك يسمح بحدوث تزوير الطلبات من جانب الخادم (SSRF)، وهي حالة يتم فيها خداع الخادم لإرسال طلبات إلى موقع غير مقصود.
التوصيات
التحديث إلى الإصدار 2.15.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾