CVE-2026-33675
Təsvir
Vikunja açıq mənbəli və özünə aid host edilən tapşırıqların idarə olunması platformasıdır. Versiya 2.2.1-dən əvvəl, `pkg/modules/migration/helpers.go` faylındakı miqrasiya köməkçi funksiyaları olan `DownloadFile` və `DownloadFileWithHeaders`, hər hansı bir SSRF mühafizəsi olmadan ixtiyari HTTP GET sorğuları göndərir. İstifadəçi Todoist və ya Trello miqrasiyasını başlatdıqda, üçüncü tərəf API cavabındakı fayl qoşma URL-ləri birbaşa bu funksiyalara ötürülür ki, bu da hücumçuya Vikunja serverini daxili şəbəkə resurslarını əldə etməyə və cavabı yüklənə bilən tapşırıq qoşması kimi qaytarmağa məcbur etməyə imkan verir. Versiya 2.2.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
- vikunja vikunja2.2.1 və ya daha yeni versiya
- code.vikunja.io/api2.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vikunja vikunja | v < 2.2.1 | 2.2.1 |
| code.vikunja.io/apiGo | v < 2.2.1, Aralıq göstərilməyib | 2.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.