CVE-2026-63107
Açıklama
LimeSurvey 6.17.10 ve 7.0.4 sürümleri dahil olmak üzere, REST API anket şablon uç noktasında, kimliği doğrulanmış kullanıcıların manipüle edilmiş bir Host başlığı sağlayarak sunucunun rastgele HTTP istekleri göndermesine olanak tanıyan bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti içermektedir. Saldırganlar, getTemplateData() fonksiyonundaki HTTP Host başlığının temizlenmeden kullanılmasını istismar ederek dahili ağ servislerine ve bulut meta veri uç noktalarına erişebilir; örnek meta veri servislerinden IAM belirteçleri gibi hassas kimlik bilgilerini çıkarabilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LimeSurvey LimeSurvey | v ≤ 6.17.10, v ≤ 7.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.