PT-2026-64873
CVE-2026-17534
·
تاريخ النشر
2026-07-27
·
تاريخ التحديث
2026-07-27
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:L/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Kimi Code (@moonshot-ai/kimi-code) الإصدارات الأقدم من 0.27.0
الوصف
يُنفذ البرنامج إجراءات تقوية ضد تزوير الطلبات من جانب الخادم (SSRF) باستخدام اسم مضيف ثابت وقائمة حظر تتضمن عناوين IP حرفية ضمن الدالة
assertSafeFetchTarget(). ومع ذلك، فإنه يفشل في تحليل عناوين DNS أو إعادة التحقق من صحة المضيفات بعد عمليات إعادة التوجيه عبر HTTP. يمكن للمهاجم القادر على التأثير على استدعاء FetchURL، مثل من خلال حقن المطالبة، تقديم اسم مضيف عام مصمم خصيصًا يتم تحليله إلى عنوان داخلي أو عنوان loopback، أو عنوان URL عام يعيد التوجيه إلى مثل هذا الهدف. وهذا يسمح بالوصول إلى خدمات الشبكة الداخلية التي تهدف قائمة الحظر إلى حجبها. ونظرًا لأن FetchURL جزء من مجموعة أدوات الموافقة التلقائية الافتراضية، فإن هذه الاستدعاءات لا تتطلب تأكيدًا تفاعليًّا من المستخدم في الوضع اليدوي.التوصيات
تحديث Kimi Code (@moonshot-ai/kimi-code) إلى الإصدار 0.27.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾