- Yama var
- Son 7 gün
- CWE-918
CVE-2026-115729
@pdfme/common'da isUrlSafeToFetch denetimi aşılarak SSRF açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
@pdfme/common, 5.5.10 sürümünden 6.2.6 sürümüne kadar olan sürümlerde sunucu taraflı istek sahteciliği (SSRF) açığı içermektedir. Bu açık, saldırganların getB64BasePdf içindeki isUrlSafeToFetch engelleme listesini aşmasına olanak tanır. Saldırganlar basePdf URL'leri olarak IPv4-mapped IPv6, [::], NAT64 veya localhost takma ad ana bilgisayar adlarını kullanarak, oluşturulan belgeler aracılığıyla loopback, dahili ağ ve bulut meta veri yanıtlarını okuyabilir.
Kaynaktaki açıklama (İngilizce)
@pdfme/common from 5.5.10 before 6.2.6 contains a server-side request forgery vulnerability that allows attackers to bypass the isUrlSafeToFetch denylist in getB64BasePdf. Attackers can supply basePdf URLs using IPv4-mapped IPv6, [::], NAT64 or localhost alias hostnames to read loopback, internal or cloud metadata responses through generated documents.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pdfme common | ≥ 5.5.10, < 6.2.6 | 6.2.6 |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…/pdfme/security/advisories/GHSA-2rg9-wxfw-wrr7 Üretici bülteni
- github.com/…/pdfme/security/advisories/GHSA-pgx6-7jcq-2qff Üretici bülteni
- github.com/…ommit/d03d0bc4994ce6921e152879793c5ff52c5600a6 Yama
- vulncheck.com/…-before-6.2.6-ssrf-via-isurlsafetofetch-bypass Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.