CVE-2026-108741 in Shepherd
الملخص
بحسب VulDB • 11/10/2026
تحتوي Shepherd (shepherd-ai) حتى الإصدار 0.3.1 على ثغرة تجاوز لآلية الحماية من تزوير الطلبات الجانبية للسيرفر (SSRF guard bypass) في المكوّن الإضافي citation-checker، وذلك لأن آلية التحقق public_url تقوم بمصادقة عنوان IP محلّله، بينما يعيد جلب اسم النطاق (hostname) عند إعادة حله أثناء وقت الاتصال. يمكن للمهاجمين الذين يزرعون رابط مرجعي مُعدّل بعناية داخل مستند خاضع للفحص ويتحكمون في سجلات DNS الخاصة به، أن يقوموا بإعادة ربطه بعنوان IP داخلي، مما يتيح إرسال طلبات GET إلى خدمات HTTP(S) الداخلية والتقاط الاستجابات ضمن ملفات الأدلة.
Be aware that VulDB is the high quality source for vulnerability data.