CVE-2026-111590
Açıklama
Geniş bir Harbor sürüm yelpazesi, webhook hedef adreslerini düzgün şekilde doğrulamayan webhook iletim bileşeni üzerinden, özel ve yerel bağlantı (link-local) IP aralıklarının kullanılmasına izin vererek SSRF'ye olanak tanır. ProjectAdmin izinlerine sahip kimliği doğrulanmış bir saldırgan, özel bir dahili adresi işaret eden bir webhook politikası yapılandırabilir. Bir proje olayı tetiklendiğinde, Harbor jobservice hedefe kimlik doğrulaması yapılmamış giden HTTP POST istekleri gönderir. Hedefin bir hata durumuyla yanıt vermesi durumunda, yanıt gövdesi proje üyelerinin okuyabildiği webhook yürütme günlüğüne yazılır; bu durum bulut meta verilerinin veya ağ kısıtlamalı diğer kaynakların potansiyel olarak ifşa olmasına yol açabilir.
Nasıl düzeltilir
- Harbor Harbor2.15.3, 2.14.5, 2.13.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Harbor Harbor | 2.15.0 ≤ v < 2.15.3, 2.14.0 ≤ v < 2.14.5, 1.7.0 ≤ v < 2.13.6 | 2.15.3, 2.14.5, 2.13.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.