CVE-2026-55412
Təsvir
ToolJet, daxili alətlər, iş axınları və AI agentləri qurmaq və yerləşdirmək üçün açıq mənbəli əsaslı AI-native platformadır. 3.20.178-lts versiyasından əvvəl RestAPI məlumat mənbəyi komponentində SSRF mövcuddur. RestAPI məlumat mənbəyi HTTP sorğularını server tərəfində icra edir və onun şəxsi IP filtri yalnız hostname sətrini yoxlayır — həll olunmuş IP-ni yox. 169.254.169.254.nip.io kimi DNS adları Azure IMDS link-local ünvanına həll olunur və filtri tamamilə yan keçir. Bu, hər hansı autentifikasiyadan keçmiş istifadəçiyə (pulsuz tarif) AKS istehsal klasteri üçün Azure idarə olunan identifikasiya tokenlərini oğurlamağa imkan verir. Bu zəiflik 3.20.178-lts versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ToolJet ToolJet | < 3.20.178-lts | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.