CVE-2026-65317
Açıklama
Verba RAG uygulamasının 2.1.3 versiyonu, kimlik doğrulaması yapmamış uzak saldırganların, özel olarak hazırlanmış bir Origin başlığı ile saldırgan tarafından kontrol edilen host ve port değerleri sağlayarak sunucunun rastgele HTTP istekleri göndermesine olanak tanıyan, aynı kökenli (same-origin) ara yazılım atlatma ile birleştirilmiş bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti içermektedir. Saldırganlar, porttan bağımsız olarak başında ' ön eki bulunan herhangi bir Origin değeri göndererek API ara yazılımındaki localhost köken kontrolünü atlayabilir ve ardından sunucunun saldırgan kontrollü altyapıya giden dışa dönük GET istekleri oluşturmasına neden olmak için /api/connect uç noktasına rastgele host ve port parametreleri gönderebilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Weaviate Verba | v ≤ 2.1.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.