CVE-2026-79671
Açıklama
Ech0 4.4.3 öncesi sürümler, validateWebhookURL fonksiyonunda (webhook_setting_service.go) bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti içermektedir; bu fonksiyon yalnızca sabit IP adreslerini net.ParseIP() aracılığıyla doğrulamakta ve özel veya dahili IP'lere DNS üzerinden çözümlenen ana bilgisayar adlarını (örneğin, 169.254.169.254.nip.io) reddetmemektedir. Yönetici yetkilerine sahip bir saldırgan, doğrulamayı atlatmak ve sunucunun dahili servislere, bulut meta veri uç noktalarına ve özel ağ kaynaklarına istekler göndermesini sağlamak için böyle bir ana bilgisayar adına sahip bir webhook oluşturabilir. Sorun 4.4.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/lin-snow/ech04.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/lin-snow/ech0Go | v < 4.4.3, Aralık belirtilmemiş | 4.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.