CVE-2026-55599
Təsvir
phpseclib PHP üçün təhlükəsiz rabitə kitabxanasıdır. 0.1.1 versiyasından 1.0.30, 2.0.55 və 3.0.54 versiyalarına qədər, tətbiq etibarsız X.509 sertifikatını phpseclib ilə yoxladıqda, X509::validateSignature() həmin sertifikatın Authority Information Access (AIA) uzantısından URL oxuyur və ona qoşulur. Sertifikatı təqdim edən hücumçu bu qoşulmanın hostunu, portunu və yolunu tamamilə idarə edir. URL-in əldə edilməsi defolt olaraq aktivdir və heç bir təyinat bloklanmır. Buna görə autentifikasiyadan keçməmiş hücumçu yoxlama aparan serverin heç vaxt çatmamalı olduğu daxili hostlara və portlara, məsələn loopback 127.0.0.1, bulud metadatasının ünvanı 169.254.169.254 və yalnız daxili xidmətlərə qoşulma açmasına səbəb ola bilər. Bu, təhlükəsiz olmayan defolt parametrlərdən qaynaqlanan server tərəfində sorğu saxtalaşdırmasıdır (SSRF). Bu zəiflik 1.0.30, 2.0.55 və 3.0.54 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- phpseclib phpseclib1.0.30, 2.0.55, 3.0.54 və ya daha yeni versiya
- phpseclib/phpseclib1.0.30, 2.0.55, 3.0.54 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| phpseclib phpseclib | 0.1.1 ≤ v < 1.0.30, 2.0.0 ≤ v < 2.0.55, 3.0.0 ≤ v < 3.0.54 | 1.0.30, 2.0.55, 3.0.54 |
| phpseclib/phpseclibPackagist | 0.1.1 ≤ v < 1.0.30, 2.0.0 ≤ v < 2.0.55, 3.0.0 ≤ v < 3.0.54 | 1.0.30, 2.0.55, 3.0.54 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.