CVE-2026-55414

NL Portal Backend Libraries, sakinlər, müştərilər, təchizatçılar və tərəfdaş təşkilatlarla qarşılıqlı əlaqədə olan Hollandiya hökumət portalları üçün backend komponentləri təmin edir. 1.1.0 versiyasından 3.0.4-ə qədər və həmçinin 3.1.0 versiyasında, ictimai getFormDefinitionByObjectenApiUrl və köhnəlmiş getFormDefinitionById GraphQL resolver-lərinə CommonGroundAuthentication olmadan daxil olmaq mümkündür və onlar çağırandan asılı olan URL-i ObjectenApiService.getObjectByUrl vasitəsilə ObjectsApiClient.getObjectByUrl-ə ötürür ki, bu da imtiyazlı Objecten-API tokenini əlavə edir. Host bərabərliyi yoxlaması sorğuları konfiqurasiya edilmiş Objecten-API hostu ilə məhdudlaşdırsa da, sxemi, portu və ya yolu məhdudlaşdırmır, bu da autentifikasiya olunmamış çağırıcının həmin hostda seçilmiş son nöqtəyə (endpoint) token daşıyan sorğu göndərməsinə şərait yaradır. Standart yerləşdirmələr cross-host SSRF riskinə məruz qalmır, tokenin ələ keçirilməsi konfiqurasiya edilmiş host üzərində hücumçu tərəfindən idarə olunan marşrutlaşdırma tələb edir və tipli deserializasiya qaytarılan məlumatları yalnız forma tərifləri formasındakı obyektlərlə məhdudlaşdırır. 3.0 versiya seriyası 3.0.4 versiyasında düzəldilib. Məsləhət xarakterli bildirişdə düzəldilmiş 3.1 versiyası göstərilməyib.