CVE-2026-17552
Təsvir
Perl üçün Plack::App::Prerender-in 0.3.0-dan əvvəlki versiyaları, çağırış zamanı yoxlanılmayan REQUEST_URI birləşdirilməsi vasitəsilə istənilən hosta proksi təyin edə bilər. Yenidən yazma bazası (rewrite base) sadə sətir olduqda, yolun ön slash ('/') ilə başladığı yoxlanılmadan REQUEST_URI ona əlavə edilir. Yenidən yazma bazası yol ehtiva etmədikdə (SYNOPSIS-də verilmiş standart kimi), hücumçu host adını dəyişən bir sorğu yarada bilər. '@' işarəsi ilə başlayan sorğu hədəfi, bazanı RFC 3986 userinfo komponentinə çevirir. Məsələn, "https://example.com" yenidən yazma bazası və göndərilən "GET @192.168.1.2/" sorğusu "https://[email protected]/" ünvanına sorğu göndərəcək və render edilmiş məzmun hücumçuya qaytarılacaqdır. Bu, hücumçunun yalnız veb serverin giriş imkanı olduğu daxili və ya məhdudlaşdırılmış hostlara daxil olmasına şərait yaradır.
Necə düzəltmək olar
- RRWO Plack::App::Prerender0.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| RRWO Plack::App::Prerender | v < 0.3.0 | 0.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.