CVE-2026-42346
Açıklama
Postiz bir yapay zeka sosyal medya planlama aracıdır. Versiyon 2.16.6'dan versiyon 2.21.7 öncesine kadar olan sürümlerde, v2.21.4–v2.21.6 arasında eklenen tüm SSRF korumaları temel bir TOCTOU (Time-of-Check-Time-of-Use) zafiyeti paylaşmaktadır: isSafePublicHttpsUrl() hedef IP'yi doğrulamak için DNS çözümlemesi yapar, ancak sonraki fetch() çağrıları DNS çözümlemesini bağımsız olarak gerçekleştirir. Bir DNS sunucusunu kontrol eden saldırgan, istekleri dahili ağ adreslerine yönlendirmek için DNS rebinding yoluyla bu boşluğu istismar edebilir. Bu sorun versiyon 2.21.7 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitroomhq postiz-app | >= 2.16.6, < 2.21.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.