- Yama var
- Son 7 gün
- CWE-918
CVE-2026-115411
crawlseo'da Crawler Üzerinden Sunucu Taraflı İstek Sahteciliği (SSRF) Açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
crawlseo 0.2.4 öncesi sürümlerde, tarayıcı motorunda sunucu taraflı istek sahteciliği (SSRF) açığı bulunmaktadır. isPrivateIp fonksiyonu RFC 6598 Carrier-Grade NAT, RFC 6890, TEST-NET aralıkları ve bazı IPv6 adresleri gibi ayrılmış IP aralıklarını engellemede başarısızdır. Ayrıca doğrulanan adres, gerçek giden bağlantı için sabitlenmediğinden, TOCTOU DNS yeniden bağlama (DNS rebinding) yoluyla bypass'a izin verir. Kimliği doğrulanmış bir saldırgan, iç veya kısıtlı bir adrese çözümlenen kötü amaçlı bir alan adı ekleyebilir; ardından iç servislere veya 169.254.169.254 gibi bulut meta veri uç noktalarına erişecek bir tarama tetikleyebilir. Tarama sonuçları API'si aracılığıyla çekilen sayfanın başlığı, açıklaması, başlıkları, durum kodu ve bağlantılarına erişebilir; bu da iç ağ keşfine (reconnaissance) olanak tanır.
Kaynaktaki açıklama (İngilizce)
crawlseo before version 0.2.4 contains a server-side request forgery vulnerability in its crawler engine where isPrivateIp() fails to block reserved IP ranges such as RFC 6598 Carrier-Grade NAT, RFC 6890, TEST-NET ranges and certain IPv6 addresses, and additionally fails to pin the validated address for the actual outbound connection, allowing a TOCTOU DNS rebinding bypass. An authenticated attacker can add a malicious domain that resolves to an internal or restricted address, trigger a crawl to reach internal services or cloud metadata endpoints like 169.254.169.254, and retrieve the fetched page's title, description, headings, status code and links through the crawl results API, enabling internal network reconnaissance.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| crawlseo | ≥ 0.1.0, < 0.2.4 | 0.2.4 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.