CVE-2026-54339

Glean, kendi sunucunuzda barındırılabilen bir RSS okuyucu ve kişisel bilgi yönetim aracıdır. 0.2.6 sürümünden önce, POST /api/feeds/discover uç noktası, saldırgan tarafından sağlanan feed_url parametresini discover_feed(feed_url) fonksiyonuna iletir, FeedService.create_subscription() aracılığıyla bir abonelik oluşturur ve fetch_feed_task işlemini sıraya ekler. Arka plan işlemi, her bir RSS öğe bağlantısını ParsedEntry.url kısmına atayan fetch_feed(feed.url) ve parse_feed() fonksiyonlarını çağırır. Ardından görev, backend/packages/rss/glean_rss/extractor.py ve backend/apps/worker/glean_worker/tasks/feed_fetcher.py dosyalarında ağ düzeyinde herhangi bir doğrulama yapmaksızın ParsedEntry.url değerini fetch_and_extract_fulltext(parsed_entry.url) fonksiyonuna iletir. Bu durum, kötü niyetli bir beslemenin sunucunun özel, loopback, link-local veya bulut meta veri kaynaklarına istek göndermesine neden olabilir. Alınan yanıt Entry.content içinde saklanır ve GET /api/entries/{id} üzerinden geri çağrılabilir; bu da tam yanıt ifşası içeren non-blind server-side request forgery (sunucu taraflı istek sahteciliği) oluşmasına yol açar. Bu durum ağ çevre güvenliklerini aşabilir, dahili servisleri ve portları tarayabilir, dahili yapılandırmaları veya web içeriklerini ortaya çıkarabilir ve potansiyel olarak bulut meta veri erişim belirteçlerini sızdırabilir. Bu sorun 0.2.6 sürümünde düzeltilmiştir.