CVE-2026-84282
Açıklama
ONLYOFFICE ownCloud Integration eklentisinin 9.12 versiyonunda bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. /apps/onlyoffice/ajax/settings/address uç noktası, dış bağlantıları başlatmadan önce kullanıcı tarafından sağlanan Document Server URL'sini yeterince doğrulamamaktadır. Kimliği doğrulanmış bir yönetici, document server parametresini manipüle ederek ownCloud sunucusunun; localhost ve dahili ağ ana bilgisayarları da dahil olmak üzere saldırganın kontrolündeki hedeflere rastgele istekler göndermesine neden olabilir. Bu durum, sunucu yanıtlarındaki farklılıklara dayanarak dahili ağ keşfi yapılmasına ve TCP port taramasına olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Ascensio System SIA / OnlyOffice ONLYOFFICE ownCloud integration plugin | 9.12 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.