CVE-2026-58468
Açıklama
NocoBase 2.1.20 ve öncesi sürümler, serverRequest sarmalayıcısında, kimliği doğrulanmış yöneticilerin iş akışı istek düğümlerine, özel istek eylem butonlarına veya AI eklentisine kötü amaçlı URL'ler sağlayarak rastgele giden HTTP istekleri göndermesine olanak tanıyan bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti içermektedir. Saldırganlar; dahili ağ port numaralandırması, ana bilgisayar keşfi ve örnek meta veri servisinden IAM rol kimlik bilgilerinin alınması işlemlerini gerçekleştirmek için döngüsel adresleri, RFC-1918 özel aralıklarını ve bulut örneği meta veri uç noktalarını hedefleyebilirler. v2.1.18 sürümüyle, SERVER_REQUEST_WHITELIST yapılandırılmadığında görüntülenecek bir uyarı mesajı eklenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nocobase nocobase | v ≤ 2.1.20 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.