PT-2026-77190
CVE-2026-71365
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AWX (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في آلية استدعاء حالة الويب هوك. عند معالجة ويب هوك لطلبات السحب (pull request) على GitHub، يستخرج النظام
pull request.statuses url من الحمولة دون التحقق من صحة المضيف المستهدف. يمكن للمهاجم الذي يتمتع بدور إداري في قالب مهمة تم تمكين webhook له استخدام مفتاح التوقيع لتزوير حمولة موقعة تحتوي على pull request.statuses url ضار. يؤدي هذا إلى قيام النظام بإرسال طلب POST إلى عنوان URL داخلي أو خاضع لسيطرة المهاجم، مما يؤدي إلى تسريب رمز الوصول الشخصي لـ Git (PAT) المُعد عبر رأس التفويض (Authorization).التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾