CVE-2026-54054
Təsvir
Transmute pulsuz, açıq mənbəli və özünə aid host edilən fayl konvertasiyası və sıxılma alətidir. Versiya 1.3.0-dan əvvəl Transmute-un URL idxal nöqtəsi (`POST /api/files/url`) Server-Side Request Forgery (SSRF) zəifliyinə malikdir. Bu nöqtə tərəfindən istifadə olunan HTTP yükləyicisi, yönləndirmələri aktiv şəkildə istifadəçinin təqdim etdiyi URL-ləri götürür və hədəfin ictimai, xarici ünvanla həll edilib-edilmədiyini yoxlamır. Nəticədə, autentifikasiya olunmuş istifadəçi (və ya aktiv ediliblərsə, qonaq istifadəçi), Transmute serverinin şəbəkə mövqeyindən daxili və ya bulud-lokal resurslara HTTP sorğuları göndərməsinə səbəb ola bilər. Yüklənmiş məzmun saxlandığı və daha sonra `GET /api/files/{id}` vasitəsilə əldə edilə bildiyi üçün bu problem "blind SSRF" yerinə tam oxuma imkanı verən SSRF ilə nəticələnə bilər. Bu problem versiya 1.3.0-da düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| transmute-app transmute | < 1.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.