CVE-2026-60105
Təsvir
Monsta FTP 2.14.5-dən əvvəl versiyalarında fetchRemoteFile əməliyyatında server tərəfində sorğu saxtalaşdırması (SSRF) zəifliyi mövcuddur. Bu zəiflik isBlockedIP() funksiyasında natamam IP bloklama yoxlaması nəticəsində yaranır və həmin yoxlama IPv4-mapped IPv6 ünvanları daxilində yerləşdirilmiş IPv4 ünvanlarını aşkar edə bilmir. Autentifikasiyadan keçməmiş hücumçu ictimai getSystemVars endpoint-indən CSRF token əldə edə və mənbə URL-i IPv4-mapped ünvana çevrilən fetchRemoteFile sorğusu göndərə bilər. Nəticədə server daxili xidmətlərə HTTP sorğuları göndərir və cavabları hücumçunun nəzarət etdiyi FTP təyinatına yazır ki, bu da bulud instansiyasının metadata etimadnamələrinin əldə edilməsinə imkan verir.
Necə düzəltmək olar
- Monsta Limited of New Zealand Monsta FTP2.14.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Monsta Limited of New Zealand Monsta FTP | v < 2.14.5 | 2.14.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.