PT-2026-68145
CVE-2026-71272
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Memos (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تقوم وظيفة إرسال webhook
safeDialContext() (internal/webhook/webhook.go) بحل اسم المضيف المستهدف باستخدام net.DefaultResolver.LookupHost والتحقق من صحة عناوين IP الناتجة مقابل النطاقات المحجوزة. ومع ذلك، فإنها تستدعي لاحقًا net.JoinHostPort(host, port) باستخدام اسم المضيف الأصلي بدلاً من عنوان IP الذي تم التحقق من صحته. نظرًا لأن net.Dialer.DialContext() تقوم بعملية تحليل DNS الخاصة بها، يمكن للمهاجم الذي يتحكم في DNS الخاص باسم مضيف الويب هوك استخدام تقنية إعادة ربط DNS. من خلال استخدام مدة صلاحية قصيرة (TTL)، يمكن للمهاجم تقديم عنوان IP عام ومسموح به خلال مرحلة التحقق، وعنوان IP داخلي مختلف خلال مرحلة الاتصال الفعلية، متجاوزًا بذلك إجراءات الحماية من تزوير الطلبات من جانب الخادم (SSRF). إعادة ربط DNS هي تقنية تُستخدم لتجاوز الضوابط الأمنية عن طريق تغيير سجل DNS بين وقت التحقق ووقت الاستخدام.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾