PT-2026-7153
CVE-2026-25765
·
تاريخ النشر
2026-02-07
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Faraday الأقدم من 2.14.1
الوصف
Faraday هي طبقة تجريد لمكتبة عميل HTTP. تستخدم الدالة
build exclusive url() (الموجودة في lib/faraday/connection.rb) دالة URI#merge في لغة Ruby لدمج عنوان URL الأساسي للاتصال مع المسار الذي يحدده المستخدم. وفقًا لمعيار RFC 3986، تُعامل عناوين URL النسبية للبروتوكول (التي تبدأ بـ //) كمراجع لمسار الشبكة التي تتجاوز مكون المضيف أو السلطة في عنوان URL الأساسي. إذا قام تطبيق ما بتمرير مدخلات يتحكم فيها المستخدم إلى طرق الطلب مثل get() أو post() أو build url()، فيمكن للمهاجم تقديم عنوان URL نسبي للبروتوكول لإعادة توجيه الطلب إلى مضيف عشوائي، مما يؤدي إلى تزوير الطلب من جانب الخادم (SSRF)، وهي تقنية يجبر فيها المهاجم الخادم على إرسال طلبات إلى وجهة غير مقصودة.التوصيات
قم بالتحديث إلى الإصدار 2.14.1.
تحقق من صحة المدخلات التي يتحكم فيها المستخدم وقم بتنقيتها قبل تمريرها إلى طرق الطلب، وذلك عن طريق رفض أو حذف المدخلات التي تبدأ بـ
// متبوعة بحرف غير /.استخدم قائمة بالبادئات المسموح بها للمسارات.
أضف
./ في بداية جميع المسارات التي يقدمها المستخدم قبل تمريرها إلى المكتبة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾