CVE-2026-55414

NL Portal Backend Libraries, sakinler, müşteriler, tedarikçiler ve ortak kuruluşlarla etkileşime giren Hollanda hükümeti portalları için arka uç bileşenleri sağlar. 1.1.0 ile 3.0.4 arası sürümlerde ve 3.1.0 sürümünde, genel getFormDefinitionByObjectenApiUrl ve kullanımdan kaldırılmış getFormDefinitionById GraphQL çözücüleri CommonGroundAuthentication olmadan erişilebilir durumdadır ve çağırıcı tarafından etkilenen bir URL'yi ObjectenApiService.getObjectByUrl üzerinden ayrıcalıklı Objecten-API belirteci ekleyen ObjectsApiClient.getObjectByUrl'ye yönlendirir. Ana makine eşitlik kontrolü istekleri yapılandırılmış Objecten-API ana makinesiyle sınırlar ancak şemayı, portu veya yolu kısıtlamaz; bu da kimliği doğrulanmamış bir çağırıcının söz konusu ana makinedeki seçili bir uç noktaya belirteç taşıyan bir istek göndermesini sağlar. Standart dağıtımlar ana makineler arası SSRF riskine açık değildir, belirtecin ele geçirilmesi yapılandırılmış ana makine üzerinde saldırgan kontrollü yönlendirme gerektirir ve türlendirilmiş serileştirmesizleştirme dönen verileri form tanımları şeklindeki nesnelerle sınırlar. 3.0 sürüm hattı 3.0.4 versiyonunda düzeltilmiştir. Güvenlik bildirimi, düzeltilmiş bir 3.1 sürümü belirtmemektedir.