CVE-2026-54054
Açıklama
Transmute; ücretsiz, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir dosya dönüştürme ve sıkıştırma aracıdır. Versiyon 1.3.0 öncesinde, Transmute'in URL içe aktarma uç noktası olan `POST /api/files/url`, Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyetine sahiptir. Bu uç nokta tarafından kullanılan HTTP indiricisi, kullanıcı tarafından sağlanan URL'leri yönlendirmeler etkin şekilde çeker ve hedefin genel, harici bir adrese çözümlenip çözümlenmediğini doğrulamaz. Sonuç olarak, kimliği doğrulanmış bir kullanıcı (veya etkinleştirilmişlerse konuk kullanıcılar), Transmute sunucusunun sunucunun ağ konumundan dahili veya bulut yerel kaynaklara HTTP istekleri yapmasına neden olabilir. İndirilen içerikler depolandığı ve daha sonra `GET /api/files/{id}` üzerinden geri alınabildiği için bu sorun, kör SSRF yerine tam okuma sağlayan bir SSRF ile sonuçlanabilir. Bu durum versiyon 1.3.0 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| transmute-app transmute | < 1.3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.