PT-2026-62099
CVE-2026-63764
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
lmdeploy (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يتعرض خادم واجهة برمجة التطبيقات (API) المتوافق مع OpenAI لـ ”تزوير الطلبات من جانب الخادم“ (SSRF)، وهو عيب يتم من خلاله خداع الخادم لإرسال طلبات إلى موقع غير مقصود. يمكن للمهاجمين غير المصادق عليهم الوصول إلى الخدمات الداخلية ونقاط نهاية البيانات الوصفية السحابية عن طريق إرسال طلب POST إلى نقطة نهاية إكمال الدردشة باستخدام
image url مُصممة خصيصًا. يتضمن الهجوم توجيه image url إلى خادم يسيطر عليه المهاجم ويقوم بإرجاع إعادة توجيه HTTP 302 إلى عناوين داخلية، مثل نقاط نهاية loopback أو instance-metadata. وهذا يتجاوز الفحص الأولي لأمان عناوين URL لأن الخادم يتبع عمليات إعادة التوجيه دون إعادة التحقق من صحة كل خطوة عبر آلية الحماية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾