CVE-2026-24736
Təsvir
Squidex açıq mənbəli headless kontent idarəetmə sistemi və kontent idarəetmə mərkəzidir. Tətbiqin 7.21.0 versiyası daxil olmaqla daha əvvəlki versiyaları istifadəçilərə Rules mühərriki daxilində hərəkətlər kimi "Webhooks" təyin etməyə imkan verir. Webhook konfiqurasiyasındakı url parametri təyinat IP ünvanlarını yoxlamır və ya məhdudlaşdırmır. O, 127.0.0.1 və ya localhost kimi lokal ünvanları qəbul edir. Qayda tetikləndikdə (istər trigger son nöqtəsinin əllə çağırılması ilə, istərsə də kontentin yenilənməsi və ya digər tetiklər vasitəsilə), backend serveri istifadəçi tərəfindən təmin edilən URL-ə HTTP sorğusu göndərir. Əsas məsələ odur ki, server tam HTTP cavabını qaydanın icra loqunda (lastDump sahəsi) qeyd edir və bu loqa API vasitəsilə giriş mümkündür. Bu isə "Blind" SSRF-ni "Full Read" SSRF-ə çevirir. Nəşr edildiyi vaxt etibarilə heç bir düzəliş edilmiş versiya mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| squidex.io squidex | v ≤ 7.21.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.