PT-2026-61552 · Surrealdb · Surrealdb
CVSS v3.1
4.1
متوسطة
| المتجه | AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:N/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SurrealDB الأقدم من 3.2.0
الوصف
توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في أداة استرداد JWKS. يقوم النظام بالتحقق من صحة سلسلة اسم مضيف عنوان URL مقابل قوائم السماح، لكنه يفشل في التحقق من عناوين IP التي تم تحليلها. يمكن للمهاجم الذي يتمتع بدور «المالك» تكوين طريقة وصول باستخدام اسم مضيف مدرج في قائمة السماح يتم تحليله إلى عناوين خاصة أو عناوين loopback، مما يجبر الخادم على إرسال طلبات GET إلى عناوين داخلية يتم حظرها عادةً عن طريق الوصول المباشر إلى عنوان URL.
التوصيات
تحديث SurrealDB إلى الإصدار 3.2.0 أو أحدث.
إصلاح
SSRF
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Surrealdb