CVE-2026-88592
Təsvir
kkFileView >= 4.2.0 versiyası Server-Side Request Forgery (SSRF) boşluğuna qarşı həssasdır. Cross-origin fayl proksi son nöqtəsi olan /getCorsFile, trust.host ağ siyahısı vasitəsilə TrustHostFilter tərəfindən qorunur. Lakin filtr tərəfindən yoxlanılan URL parametri ilə kontrollerin faktiki olaraq əldə etdiyi parametr eyni deyil: filtr sabit prioritet sırasına uyğun olaraq ilk boş olmayan parametri yoxlayır, kontroller isə yalnız urlPath parametrini oxuyur və əldə edir. Eyni sorğuda həm urlPath=<real hədəf>, həm də url=<ağ siyahıya daxil edilmiş saxta ünvan> təqdim etməklə, saxta ünvan yoxlamadan keçir, lakin yoxlanılmamış real hədəf server tərəfdən çağırılır və cavab gövdəsi hücumçuya geri ötürülür.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kkFileView | 4.2.0 ≤ v | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.