CVE-2026-17534
Açıklama
Kimi Code (@moonshot-ai/kimi-code) 0.27.0 öncesinde FetchURL SSRF sertleştirmesini assertSafeFetchTarget içinde statik bir ana bilgisayar adı ve IP-literal reddetme listesi olarak uygular; DNS çözümlemesi yapmaz ve HTTP yönlendirmelerinden sonra ana bilgisayarları yeniden doğrulamaz. Bir FetchURL çağrısını etkileyebilen bir saldırgan (örneğin istem enjeksiyonu yoluyla), loopback veya başka bir iç adrese çözümlenen hazırlanmış bir genel ana bilgisayar adı ya da böyle bir hedefe yönlendiren genel bir URL sağlayabilir ve böylece reddetme listesinin engellemeyi amaçladığı iç ağ hizmetlerine erişebilir. FetchURL varsayılan otomatik onay aracı kümesine dahildir, bu nedenle çağrı manuel modda etkileşimli kullanıcı onayı gerektirmez.
Nasıl düzeltilir
- MoonshotAI Kimi Code0.27.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| MoonshotAI Kimi Code | v < 0.27.0 | 0.27.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.