- Yama var
- Son 7 gün
- CWE-918
CVE-2026-116069
NiubiGEO'da kimlik doğrulamasız SSRF açığı: /audit-plan domain alanı üzerinden iç ağ isteği
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
NiubiGEO 0.3.2 öncesi sürümlerde, kimlik doğrulaması gerektirmeyen bir sunucu taraflı istek sahteciliği (SSRF) açığı bulunmaktadır. Bu açık, uzak saldırganların POST /audit-plan isteğinde özel olarak hazırlanmış bir domain değeri göndererek sunucunun iç adreslere istek yapmasını sağlamasına olanak tanır. Saldırganlar IP adresleri, localhost ya da özel ve link-local ana bilgisayarları belirterek loopback, iç ağ veya bulut meta veri yanıtlarını okuyabilir; bu yanıtlar planın siteEvidence JSON çıktısında döndürülür.
Kaynaktaki açıklama (İngilizce)
NiubiGEO before 0.3.2 contains an unauthenticated server-side request forgery vulnerability that allows remote attackers to make the server fetch internal addresses by supplying a crafted domain value to POST /audit-plan. Attackers can submit IP literals, localhost, or private and link-local hosts to read loopback, internal-network, or cloud metadata responses returned in the plan's siteEvidence JSON.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Albert-Weasker niubigeo | < 0.3.2 | 0.3.2 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/299b9e71881d445e976012ad75ecdd05ce802715 Yama
- github.com/Albert-Weasker/niubigeo/issues/242 Üçüncü taraf
- vulncheck.com/…authenticated-ssrf-via-audit-plan-domain-field Üçüncü taraf
- github.com/Albert-Weasker/niubigeo Diğer
- github.com/…87c73d1df98bb82a2cfebacc0c215111/src/server.ts Diğer
- github.com/…2cfebacc0c215111/src/keywords/site-evidence.ts Diğer
- github.com/Albert-Weasker/niubigeo/releases/tag/v0.3.2 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.