CVE-2026-34577
Təsvir
Postiz süni intellekt əsaslı sosial media planlama alətidir. Versiya 2.21.3-dən əvvəl, PublicController daxilindəki GET /public/stream son nöqtəsi istifadəçi tərəfindən təmin edilən url sorğu parametrini qəbul edir və tam HTTP cavabını çağırana ötürür. Yeganə yoxlama url.endsWith('mp4') şərtidir ki, bu da .mp4 hissəsini sorğu parametri dəyəri və ya URL fraqmenti kimi əlavə etməklə asanlıqla yan keçilə bilər. Son nöqtə heç bir autentifikasiya tələb etmir və SSRF mühafizəsinə malik deyil, bu da autentifikasiya olunmamış hücumçuya daxili xidmətlərdən, bulud metadata son nöqtələrindən və digər şəbəkədaxili resurslardan cavabları oxumağa imkan verir. Bu problem versiya 2.21.3-də aradan qaldırılmışdır.
Necə düzəltmək olar
- gitroom postiz2.21.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gitroom postiz | v < 2.21.3 | 2.21.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.