CVE-2026-107449
Təsvir
linuxserver Heimdall 2.8.3 versiyasına qədər olan versiyalarda SafeUrlFetcher SSRF qoruma mexanizmi yalnız ItemController-ə tətbiq edilir; enhanced-application testi və live-stats sorğuları isə IP ünvan məhdudiyyətləri olmayan GuzzleHttp kliyenti SupportedApps::execute() vasitəsilə həyata keçirilir. Bəzi real quraşdırmalarda POST /test_config (və GET /get_stats) son nöqtələri CSRF vasitəsilə əlçatandır və beləliklə, autentifikasiya olunmamış hücumçu serveri ixtiyari daxili hostlara və portlara (o cümlədən 169.254.169.254) sorğular göndərməyə məcbur edə bilər və cavab məlumatlarının bir hissəsi ilə yanaşı status/port orakilini oxuya bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxserver Heimdall | v ≤ 2.8.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.