CVE-2026-64870
Təsvir
MaxKB müəssisələr üçün açıq mənbəli süni intellekt köməkçisidir. 2.0.0 və 2.10.4-lts versiyaları arasında UpdateStoreTool.update_tool funksiyası istifadəçi tərəfindən təmin edilən download_url və download_callback_url dəyərlərini uyğun etibarlı host (trusted-host) və yönləndirmə yoxlaması olmadan requests.get funksiyasına ötürür. Bu, autentifikasiya olunmuş iş sahəsi istifadəçisinə server vasitəsilə daxili, loopback, link-local və ya bulud metadata URL-lərinə sorğu göndərməyə imkan verir. Düzəliş v2 budağında mövcuddur, lakin hələ ki, dərc edilmiş buraxılışa daxil edilməmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 1Panel-dev MaxKB | >= 2.0.0, <= 2.10.4-lts | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.