CVE-2026-55412
Açıklama
ToolJet; dahili araçlar, iş akışları ve yapay zeka ajanları oluşturmak ve dağıtmak için kullanılan açık kaynaklı, yapay zeka tabanlı bir platformdur. 3.20.178-lts sürümünden önce, RestAPI veri kaynağı bileşeninde bir SSRF bulunmaktadır. RestAPI veri kaynağı, HTTP isteklerini sunucu tarafında yürütür ve özel IP filtresi yalnızca ana makine adı dizesini kontrol eder, çözümlenen IP adresini değil. 169.254.169.254.nip.io gibi DNS adları, Azure IMDS bağlantı yerel adresine çözümlenir ve filtreyi tamamen atlatır. Bu durum, kimliği doğrulanmış herhangi bir kullanıcının (ücretsiz katman), AKS üretim kümesi için Azure yönetilen kimlik belirteçlerini çalmasına olanak tanır. Bu güvenlik açığı 3.20.178-lts sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ToolJet ToolJet | < 3.20.178-lts | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.