CVE-2026-79671
Təsvir
Ech0 versiya 4.4.3-dən əvvəlki versiyalarda validateWebhookURL funksiyasında (webhook_setting_service.go) server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. Bu funksiya yalnız hərfi IP ünvanlarını net.ParseIP() vasitəsilə yoxlayır və özəl və ya daxili IP-lərə (məsələn, 169.254.169.254.nip.io) DNS vasitəsilə yönləndirilən host adlarını rədd etmir. Admin imtiyazlarına malik hücumçu, təsdiqləməni yan keçmək üçün belə bir host adı ilə webhook yarada bilər və bununla serverin daxili xidmətlərə, bulud metadata son nöqtələrinə və şəxsi şəbəkə resurslarına sorğular göndərməsinə səbəb ola bilər. Problem 4.4.3 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/lin-snow/ech04.4.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/lin-snow/ech0Go | v < 4.4.3, Aralıq göstərilməyib | 4.4.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.