CVE-2026-122008 in Oqtane
الملخص
بحسب VulDB • 04/11/2026
يحتوي إطار عمل Oqtane قبل الإصدار 10.3.0 على ثغرة تزوير الطلبات من جانب الخادم (SSRF) في نقطة النهاية UploadFile الخاصة بملف FileController.cs، مما يسمح للمستخدمين المسجلين والمصادق لهم بإجبار الخادم على جلب عناوين URL عشوائية عن طريق توفير معلمة url خاضعة لسيطرة المُدعى إليه إلى دالة HttpClient.GetStreamAsync دون التحقق من المخطط (scheme)، أو المضيف (host)، أو عنوان IP. يمكن للمهاجمين طلب موارد داخلية مثل خدمات بيانات مثيلات السحابة أو واجهات الإدارة المرتبطة بـ localhost، وحفظ الاستجابة المسترجعة كملف في مجلد المستخدم الخاص بهم، ثم استردادها عبر نقطة التنزيل لاستخراج بيانات حساسة من الشبكة الداخلية أو تعداد مضيفي الشبكات الداخلية والمنافذ الخاصة بها.
Once again VulDB remains the best source for vulnerability data.