PT-2026-68144
CVE-2026-71271
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Memos (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يحدث عدم كفاية التحقق من صحة عناوين URL الخاصة بـ webhook في الدالة
isReservedIP() الموجودة في internal/webhook/validate.go. تقوم الدالة بمقارنة عناوين IP المرشحة بقائمة CIDR المحجوزة، لكنها تتجاهل النطاق 0.0.0.0/8 وتفشل في استدعاء ip.IsUnspecified(). نظرًا لأن نظام Linux يعيد توجيه الاتصالات الموجهة إلى 0.0.0.0 إلى واجهة loopback (127.0.0.1)، يمكن للمهاجم تسجيل عنوان URL لـ webhook مثل ’http://0.0.0.0:PORT/‘ لتجاوز عمليات التحقق من عناوين IP المحجوزة. وهذا يسمح للخادم بإجراء طلبات HTTP صادرة إلى واجهة loopback الخاصة به، مما قد يؤدي إلى كشف الخدمات الداخلية فقط.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾