PT-2026-63308
CVE-2026-58442
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-26
الوصف من
CVSS 2.0
6.8
متوسطةالمقاييسAV:N/AC:L/Au:S/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Gitea (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يمكن لمستخدم مصادق عليه ذي امتيازات منخفضة تنفيذ تزوير طلب من جانب الخادم (SSRF) أثناء ترحيل المستودع. تحدث المشكلة لأن منطق التحقق في
services/migrations/migrate.go يقبل الوجهة إذا كان أي عنوان IP تم تحليله مسموحًا به، حتى لو كانت عناوين IP الأخرى التي تم تحليلها محظورة أو عناوين loopback. يمكن للمهاجم استخدام اسم DNS يُحل إلى كل من عنوان IP عام مسموح به وعنوان IP داخلي محظور لتجاوز هذه المرشحات. ونظرًا لأن عملية git clone اللاحقة تقوم بحل DNS الخاص بها، فقد تتصل بالعنوان الداخلي، مما يسمح للمهاجم باستيراد محتويات من خدمات Git الداخلية فقط أو موارد الشبكة الخاصة إلى مستودع يخضع لسيطرته.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام ميزة ترحيل المستودع أو تأكد من إدارة الإعداد
ALLOW LOCALNETWORKS بصرامة لتقليل مخاطر تعرض الشبكة الداخلية.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾