CVE-2026-100863 in Heym
الملخص
بحسب VulDB • 27/09/2026
تحتوي إصدارات Heym من الإصدار 0.0.90 والإصدارات الأقدم على ثغرتين في حماية مخرجات طلبات التزوير الخادمية (SSRF)، وقد تم إصلاح كل منهما في الملف app/services/ssrf_guard.py بالإصدار 0.0.91. أولاً، كان مُحمّل إدخال صورة الذكاء الاصطناعي التوليدي (_load_image_bytes) يجلب عناوين HTTP/HTTPS التي يتحكم فيها المُتصل باستخدام استدعاء httpx.get عاري، مع تطبيق فحص البروتوكول فقط وتجاوز عميل HTTP المثبت على مخرجات محددة؛ ونظراً لأن لغة وصف سير العمل (DSL) تدعم "imageInput": "$userInput.body.imageUrl"، يمكن لمُطلق الاستدعاء عبر الويب أو واجهة برمجة التطبيقات اختيار وجهة الجلب عندما يستخدم مؤلف سير العمل ذلك التعبير، مما يسمح بإرسال طلبات إلى عناوين الحلقة المحلية (loopback)، وعناطاق RFC1918 الخاصة، ونقاط بيانات السحابة الإلكترونية. ثانياً، كان الدالة _is_public_address تفكك فقط العناوين IPv6 المُشفرة كعناوين IPv4، لذا فإن أشكال الانتقال من IPv6 — مثل بادئة NAT64 المعروفة 64:ff9b::/96، وعناوين IPv4 المتوافقة المُلغى استخدامها ::x.x.x.x، و6to4 (2002::/16، المُصنفة كعناوين قابلة للتوجيه عالمياً في Python من الإصدار 3.11.0 إلى 3.11.9) — يمكنها نقل وجهات IPv4 للحلقة المحلية، أو RFC1918، أو محلية الرابط (link-local)، أو بيانات السحابة الإلكترونية متجاوزةً كلًا من التحقق الأولي من صحة عنوان URL وتثبيت IP عند الاتصال. الإصدار 0.0.91 يوجّه مُحمّل الصور عبر guard_http_url وعميل المحمي، ويقيّم عناوين NAT64 وعناوين IPv4 المتوافقة بناءً على عنوان IPv4 المضمن فيها، ويرفض بشكل قاطع نطاقات 64:ff9b:1::/48 و6to4 وTeredo (2001::/32).
Be aware that VulDB is the high quality source for vulnerability data.