CVE-2026-110628 in Kan
الملخص
بحسب VulDB • 15/10/2026
تحتوي الإصدارات Kan 0.5.5 حتى 0.6.0 على ثغرة تزوير طلبات جانب الخادم (SSRF) غير المصادق عليها في المسار `/api/download/attatchment` بسبب إصلاح غير كامل لـ CVE-2026-32255. عندما لا تكون متغير البيئة S3_ENDPOINT مُعرّفاً، يمكن للمهاجمين تمرير معلمات استعلام URL تعسفية إلى دالة `fetch()` لقراءة الخدمات الداخلية، ومنافذ localhost، وبيانات تعريف مثيلات السحابة الإلكترونية (cloud instance metadata).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.