PT-2026-65742
CVE-2026-23904
·
تاريخ النشر
2026-07-29
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Kyuubi من 1.8.0 حتى 1.11.x
الوصف
يقبل وكيل واجهة مستخدم المحرك (Engine UI) المضيف والمنفذ من مسار الطلب ويقوم بتوجيه طلبات HTTP إلى تلك الوجهة. يمكن لمُطلب بعيد لديه وصول شبكي إلى الوكيل أن يتسبب في قيام الخادم بإرسال طلبات HTTP إلى مضيفات عشوائية يمكن الوصول إليها، مما يؤدي إلى تزوير الطلبات من جانب الخادم (SSRF)، حيث يتم خداع الخادم لإجراء طلبات إلى موارد داخلية أو خارجية، أو سلوك الوكيل المفتوح.
التوصيات
قم بالترقية إلى الإصدار 1.12.0.
لاستعادة واجهة مستخدم المحرك (Engine UI) التي تعمل عبر الوكيل بعد الترقية، اضبط
kyuubi.frontend.rest.engine.ui.proxy.enabled على true وقم بتكوين المضيفات المستهدفة المسموح بها باستخدام kyuubi.frontend.rest.engine.ui.proxy.hosts. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾