CVE-2026-54339

Glean özü tərəfindən host edilən RSS oxuyucusu və şəxsi biliklərin idarəetmə alətidir. Versiya 0.2.6-ya qədər, POST /api/feeds/discover sorğusu hücum edən tərəfdən təmin edilən feed_url parametrini discover_feed(feed_url) funksiyasına ötürür, FeedService.create_subscription() vasitəsilə abunəlik yaradır və fetch_feed_task tapşırığını növbəyə əlavə edir. Arxa plan yolu fetch_feed(feed.url) və parse_feed() funksiyalarını çağırır və bu zaman hər bir RSS elementinin keçidi ParsedEntry.url-ə təyin edilir. Daha sonra tapşırıq, backend/packages/rss/glean_rss/extractor.py və backend/apps/worker/glean_worker/tasks/feed_fetcher.py fayllarında şəbəkə səviyyəsində yoxlama aparmadan ParsedEntry.url dəyərini fetch_and_extract_fulltext(parsed_entry.url) funksiyasına ötürür. Buna görə də zərərli feed serveri şəxsi, loopback, link-local və ya bulud meta-məlumat resurslarına sorğu göndərməyə məcbur edə bilər. Əldə edilən cavab Entry.content-də saxlanılır və GET /api/entries/{id} vasitəsilə götürülə bilir ki, bu da tam cavabın açıqlanması ilə nəticələnən non-blind server-side request forgery (SSRF) boşluğuna yol açır. Bu, şəbəkə perimetrlərindən yan keçməyə, daxili xidmətlərin və portların araşdırılmasına, daxili konfiqurasiyanın və ya veb məzmunun ifşasına və potensial olaraq bulud meta-məlumat giriş tokenlərinin sızmasına səbəb ola bilər. Bu problem 0.2.6 versiyasında düzəldilmişdir.