PT-2026-61768
CVE-2026-57114
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات praisonai من 4.5.126 إلى 4.6.57
الوصف
تحتوي واجهة برمجة تطبيقات المهام غير المتزامنة (Async Jobs API) على ثغرة تزوير الطلبات من جانب الخادم (SSRF) يمكن تشغيلها عبر إعادة ربط DNS. وعلى الرغم من أن واجهة برمجة التطبيقات تتحقق من صحة
webhook url أثناء تحليل الطلب وإنشاء الكائن لحظر الأهداف الخاصة أو أهداف الارتداد، فإن هذا التحقق من الصحة غير مرتبط بالطلب الفعلي على الشبكة. يمكن للمهاجم تقديم اسم مضيف يتم تحويله إلى عنوان IP عام أثناء عملية التحقق، ولكنه يتم تحويله إلى عنوان خاص أو عنوان loopback أو عنوان بيانات تعريف السحابة عند استدعاء الدالة send webhook(). وهذا يسمح للمهاجم بإرسال طلبات POST إلى البنية التحتية الداخلية، أو إجراء فحص داخلي للمنافذ، أو التفاعل مع نقاط نهاية بيانات تعريف السحابة.تشمل التفاصيل الفنية ما يلي:
-
نقطة نهاية واجهة برمجة التطبيقات (API):
POST /api/v1/runs -
المعلمة المعرضة للخطر:
webhook url -
الدوال المعرضة للخطر:
JobSubmitRequest.validate webhook url()، وJob.validate webhook url()، وJobExecutor. send webhook()
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية
POST /api/v1/runs أو قم بتطبيق المصادقة الإلزامية لتقديم المهام لمنع المستخدمين غير المصرح لهم من تحديد webhook url. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾