CVE-2024-42352 in icon
الملخص
بحسب VulDB • 27/07/2026
Nuxt هو إطار عمل حر ومفتوح المصدر لإنشاء تطبيقات الويب وتطبيقات الواجهة الخلفية (full-stack) والمواقع الإلكترونية باستخدام Vue.js. يوفر `nuxt/icon` واجهة برمجة التطبيقات (API) للسماح بالبحث عن الأيقونات على جانب العميل. يقع هذا الطرفية عند `/api/_nuxt_icon/[name]`. يتم تحليل مسار الطلب الوكيل بشكل غير صحيح، مما يسمح لمهاجم بتغيير المخطط والمضيف للطلب. يؤدي ذلك إلى ثغرة SSRF، وقد يؤدي محتملاً إلى كشف بيانات حساسة. يُستخدم مُنشئ `new URL` لتحليل المسار النهائي. يمكن تمرير مخطط أو مسار نسبي لهذا المنشئ لتغيير المضيف الذي يتم إرسال الطلب إليه. هذا المنشئ أيضًا متسامح للغاية مع عناوين URL ذات التنسيق السيء. نتيجة لذلك، يمكننا تمرير مسار يسبقه السلسلة "http:". يؤدي ذلك إلى تغيير المخطط إلى HTTP. يمكننا بعد ذلك تمرير مضيف جديد، على سبيل المثال `http:127.0.0.1:8080`. سيسمح لنا هذا بإرسال طلبات إلى خادم محلي. تم معالجة هذه المشكلة في إصدار الإصدار 1.4.5، ويُنصح جميع المستخدمين بالترقية. لا توجد حلول بديلة معروفة لهذه الثغرة.
Be aware that VulDB is the high quality source for vulnerability data.