CVE-2024-56800
Təsvir
Firecrawl böyük dil modeli üçün veb-səhifənin məzmununu çıxarmağa imkan verən veb-skraperdir. 1.1.1-dən əvvəlki versiyalarda server tərəfində sorğu saxtalaşdırması (SSRF) zəifliyi mövcuddur. Skrapinq mühərriki yerli IP ünvanına yönləndirən zərərli sayt yaratmaqla istismar edilə bilərdi. Bu, API vasitəsilə yerli şəbəkə resurslarının ekzfiltrasiyasına imkan verirdi. Bulud xidməti 27 dekabr 2024-cü ildə yamaqlanıb və tərtibatçılar bu zəiflik nəticəsində heç bir istifadəçi məlumatının ifşa olunmadığını yoxlayıblar. Firecrawl-un açıq mənbəli versiyasında istifadə olunan skrapinq mühərrikləri 29 dekabr 2024-cü ildə yamaqlanıb, yalnız tərtibatçıların yamaqlana bilməz hesab etdiyi playwright xidmətləri istisna olmaqla. Açıq mənbəli proqram təminatının (OSS) Firecrawl-un bütün istifadəçiləri v1.1.1-ə yüksəltməlidirlər. Alternativ həll olaraq, OSS Firecrawl istifadəçiləri playwright xidmətlərini təhlükəsiz proksi ilə təmin etməlidirlər. Proksi mühit dəyişənlərində `PROXY_SERVER` env vasitəsilə göstərilə bilər. Təlimatlar üçün sənədləşməyə müraciət edin. İstifadə olunan proksi serverin link-local IP ünvanlarına gedən bütün trafiki bloklamaq üçün quraşdırıldığından əmin olun.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mendableai firecrawl | < 1.1.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.