CVE-2026-116680
Təsvir
HomeBox ev inventarı və təşkilat sistemidir. Versiya 0.27.0-dan əvvəl Homebox ümumi bildiriş URL-lərini yaratma, yeniləmə, sınaq və planlaşdırılmış çatdırılmadan əvvəl ValidateNotifierURL ilə yoxlayır, lakin shoutrrr sorğunu hər bir Location hədəfini yenidən yoxlayan CheckRedirect siyasəti olmadan http.DefaultClient.Do vasitəsilə göndərir. Autentifikasiya olunmuş kolleksiya üzvü, loopback, link-local, bulud metadata və ya digər bloklanmış təyinat nöqtəsinə yönləndirmə edən icazəli bildiriş hostu konfiqurasiya edə bilər ki, bu da növbəti sorğunun məhsulun SSRF siyasətindən yan keçməsinə səbəb olur. Bu boşluğa dərhal sorğular üçün POST /api/v1/notifiers/test vasitəsilə və planlaşdırılmış texniki xidmət çatdırılması zamanı saxlanılan bildirişlər vasitəsilə daxil olmaq mümkündür. Bu problem versiya 0.27.0-da düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sysadminsmedia homebox | < 0.27.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.