CVE-2026-55177

CloudTAK, TAK ile uyumlu tarayıcı tabanlı bir Ortak Operasyonel Resim ve durumsal farkındalık aracıdır. Versiyon 13.10.0 öncesinde, ESRI yardımcı ailesindeki (api/routes/esri.ts) her rota, istekten tamamen saldırgan kontrollü bir URL alır (POST /api/esri gövdesindeki url ve GET /api/esri/* rotalarındaki portal / server / layer sorgu parametreleri) ve bunu api/lib/esri.ts içindeki EsriBase / EsriProxyPortal / EsriProxyServer / EsriProxyLayer bileşenlerine aktarır; bu bileşenler ise ilgili URL'yi @tak-ps/etl kütüphanesinden gelen yalın fetch ile çeker. Herhangi bir aşamada IP / DNS / ana makine adı sınıflandırması uygulanmadığından, hedef adres hiçbir zaman özel, döngüsel (loopback) veya yerel bağlantı (link-local) aralıklarına karşı doğrulanmaz. Bu nedenle, kimliği doğrulanmış herhangi bir kullanıcı (rotalar yalnızca Auth.is_auth(config, req, { anyResources: true }) gerektirir, yani yönetici olması gerekmez, herhangi bir belirteç yeterlidir), CloudTAK sunucusunun bulut örnek meta veri hizmeti (169.254.169.254), döngüsel yönetim portları (127.0.0.1:<port>) ve yalnızca dağıtım VPC'si içerisinden erişilebilen diğer ana makineler gibi dahili adreslere rastgele giden GET/POST istekleri göndermesini sağlayabilir. Bu durum kör olmayan, tam okuma sağlayan bir SSRF'dir: işlem başarılı olduğunda üst akıştan gelen JSON gövdesi res.json(...) aracılığıyla çağırana döndürülür ve başarısız olduğunda üst akış hata dizisi olduğu gibi ESRI Server Error: <message> şeklinde yansıtılır. Bir saldırgan, bulut meta verilerini (ve örneğin rolünün sunduğu geçici IAM kimlik bilgilerini) okuyabilir, dahili servisleri listeleyebilir ve yanıt gövdelerini sızdırabilir. sniff() URL sınıflandırıcı koruma sağlamaz: yalnızca yol adını (/rest, /arcgis/rest, /sharing/rest) desenle eşleştirir, dolayısıyla http://169.254.169.254/arcgis/rest veya http://127.0.0.1:8500/rest gibi bir URL sniff() kontrolünden geçer ve çekilir. Bu sorun versiyon 13.10.0 ile düzeltilmiştir.