CVE-2026-17552
Açıklama
Perl için Plack::App::Prerender'ın 0.3.0 öncesi sürümleri, çağrıdaki doğrulanmamış REQUEST_URI birleştirmesi aracılığıyla rastgele bir ana bilgisayara vekil sunucu (proxy) görevi görebilir. Yeniden yazma tabanı düz bir dize olduğunda, yolun ileri eğik çizgi ('/') ile başlayıp başlamadığı kontrol edilmeden REQUEST_URI buna eklenir. Yeniden yazma tabanı bir yol içermediğinde (SYNOPSIS'te verilen standart durum), bir saldırgan ana bilgisayar adını değiştiren bir istek oluşturabilir. Et işareti ('@') ile başlayan bir istek hedefi, tabanı bir RFC 3986 kullanıcı bilgisi bileşenine dönüştürür. Örneğin, "https://example.com" şeklindeki bir yeniden yazma tabanına gönderilen "GET @192.168.1.2/" isteği, "https://[email protected]/" adresine bir istek gönderecek ve işlenen içerik saldırgana döndürülecektir. Bu durum, bir saldırganın yalnızca web sunucusunun erişebildiği dahili veya kısıtlı ana bilgisayarlara erişmesine olanak tanır.
Nasıl düzeltilir
- RRWO Plack::App::Prerender0.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| RRWO Plack::App::Prerender | v < 0.3.0 | 0.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.