CVE-2026-76900
Təsvir
CordysCRM şəxsi yerləşdirməni dəstəkləyən açıq mənbəli süni intellekt əsaslı müştəri münasibətlərinin idarə edilməsi sistemidir. Versiya 1.7.3-də ApprovalResourceService.sendWebHook funksiyası saxlanılan approval-node konfiqurasiyasından WebHookConfig.webHookUrl dəyərini oxuyur və onu opsional testConnect yolu tərəfindən istifadə edilən SSRF validasiyası olmadan ApprovalFlowService.updateApprovalPostField vasitəsilə HttpClientUtils-ə ötürür. PROCESS_SETTING_ADD səlahiyyətinə malik olan istifadəçi POST /approval-flow/add vasitəsilə daxili URL konfiqurasiya edə bilər və POST /approval-action/approve təsdiq hərəkətini icra etdikdə serverin həmin URL-ə sorğu göndərməsinə səbəb ola bilər ki, bu da bulud metadata-sına girişə, daxili şəbəkə kəşfiyyatına və əlçatan daxili xidmətlərlə qarşılıqlı əlaqəyə imkan verir. Bu problem versiya 1.7.4-də düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 1Panel-dev CordysCRM | = 1.7.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.