CVE-2026-58468
Təsvir
NocoBase 2.1.20 daxil olmaqla versiyalarda serverRequest wrapper-də server tərəfində sorğu saxtalaşdırması (SSRF) zəifliyi mövcuddur ki, bu da autentifikasiyadan keçmiş administratorlara workflow request node-larına, fərdi request action düymələrinə və ya AI plagininə zərərli URL-lər təqdim etməklə ixtiyari xarici HTTP sorğuları göndərməyə imkan verir. Hücumçular loopback ünvanlarını, RFC-1918 özəl diapazonlarını və bulud instansiyası metadata endpoint-lərini hədəf alaraq daxili şəbəkədə port skanı, host aşkarlanması və instansiya metadata xidmətindən IAM rolunun etimadnamələrinin əldə edilməsini həyata keçirə bilərlər. v2.1.18 versiyasında SERVER_REQUEST_WHITELIST konfiqurasiya edilmədikdə xəbərdarlıq mesajı əlavə edilmişdi.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nocobase nocobase | v ≤ 2.1.20 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.