CVE-2026-39376
Təsvir
FastFeedParser yüksək performanslı RSS, Atom və RDF parseridir. 0.5.10 versiyasından əvvəl, parse() funksiyası tərkibində <meta http-equiv="refresh"> teqi olan HTML səhifəsi qaytaran URL-i götürdükdə, yönləndirmə URL-i ilə özünü rekursiv şəkildə çağırır — burada dərinlik limiti, ziyarət edilmiş URL-lərin dublikatlarının aradan qaldırılması və yönləndirmə sayı məhdudiyyəti yoxdur. Sonsuz HTML meta-refresh cavabları zənciri qaytaran hücumçu tərəfindən idarə olunan server sınırsız rekursiyaya səbəb olur, bu da Python çağırış stekini tükədir və prosesin çökməsinə gətirib çıxarır. Bu zəiflik, həmçinin ilkin URL yoxlamasını yan keçdikdən sonra daxili şəbəkə hədəflərinə çatmaq üçün müşayiət edən SSRF problemi ilə birləşdirilə bilər. Bu zəiflik 0.5.10 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- kagi fastfeedparser0.5.10 və ya daha yeni versiya
- fastfeedparser0.5.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kagi fastfeedparser | v < 0.5.10 | 0.5.10 |
| fastfeedparserPyPI | v < 0.5.10 | 0.5.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.