CVE-2026-18736
Açıklama
Shlink, kimliği doğrulanmış API anahtarı sahiplerinin, başlık otomatik çözümleme özelliği etkinken kısa URL oluşturma sırasında özel olarak hazırlanmış uzun bir URL sağlayarak sunucunun rastgele HTTP GET istekleri göndermesine olanak tanıyan bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti içermektedir. Saldırganlar; döngüsel adresler (loopback), bağlantı yerel aralıkları ve 169.254.169.254 gibi bulut meta veri uç noktaları dahil olmak üzere dahili hedeflere yönlendirme yapan genel ana bilgisayarlara işaret eden URL'ler göndererek, kısa URL oluşturma yanıtında dönen HTML başlık öğesi aracılığıyla dahili servis bilgilerini sızdırabilirler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shlinkio Shlink | 2.6.0 ≤ v ≤ 5.1.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.