PT-2026-70938
CVE-2026-73247
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kestra الأقدم من 2.0.0
الوصف
توجد مشكلة تتمثل في أن الدالة
http() في ملف HttpFunction.java تمرر معلمة URI يتحكم فيها المستخدم إلى الدالة URI.create() وإلى عميل HTTP من جانب الخادم. ونظرًا لأن النظام لا يفرض قيودًا على الوجهات الخاصة أو الوجهات ذات الارتداد الداخلي أو الوجهات المحلية للرابط، يمكن لمهاجم غير مصدق عليه استيراد وتنفيذ تدفق لإجراء تزوير الطلبات من جانب الخادم (SSRF)، مما يتيح الوصول إلى الخدمات الداخلية أو البيانات الوصفية السحابية.التوصيات
قم بالتحديث إلى الإصدار 2.0.0 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام الدالة
http() داخل التدفقات لمنع الطلبات الداخلية غير المصرح بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾