CVE-2023-32683

Synapse, Python dilində və Twisted freymvorku ilə yazılmış Matrix protokolu homeserveridir. Aşkar edilmiş oEmbed və ya şəkil URL-i `url_preview_url_blacklist` tənzimləməsini yan keçə bilər ki, bu da potensial olaraq server tərəfli sorğu saxtakarlığına (SSRF) və ya şəbəkə siyasətlərinin pozulmasına yol aça bilər. Təsir `url_preview_ip_range_blacklist` tənzimləməsi ilə icazə verilən IP ünvanları (defolt olaraq yalnız ictimai IP-lərə icazə verilir) və klientə qaytarılan məhdud məlumatlarla məhdudlaşır: 1. Aşkar edilmiş oEmbed URL-ləri üçün hər hansı qeyri-JSON cavabı və ya oEmbed məlumatlarını ehtiva etməyən JSON cavabı rədd edilir. 2. Aşkar edilmiş şəkil URL-ləri üçün hər hansı qeyri-şəkil cavabı rədd edilir. URL önizləməsi söndürülmüş (`url_preview_enabled` tənzimləməsi vasitəsilə) və ya `url_preview_url_blacklist` konfiqurasiya edilməmiş sistemlər təsirlənmir. Bu problem 1.85.0 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə edə bilməyən istifadəçilər URL önizləmələrini də söndürə bilərlər.