- Son 7 gün
- CWE-918
CVE-2026-55190
Event Schedule'da isUrlSafe SSRF korumasının IPv6 ve v4 çözümleyici açıkları nedeniyle aşılabilmesi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Event Schedule, etkinlikleri paylaşmak, bilet satmak ve toplulukları bir araya getirmek için kullanılan açık kaynaklı bir platformdur. 1.0.0 ve önceki sürümlerde, App\Utils\UrlUtils::isUrlSafe fonksiyonu kullanıcı tarafından sağlanan içe aktarma URL'lerine uygulanan SSRF korumasıdır. Bu koruma iki yolla aşılabilir; her iki durumda da URL daha sonra ImportCuratorEvents tarafından getirildiğinde (Http::get($url) ile, ardından yanıt gövdesi ayrıştırılıp etkinlik olarak içe aktarılır ve file_get_contents($ogImage) çağrısıyla) dahili ağdaki ya da localhost üzerindeki servislere ulaşılabilir. Yayımlanma tarihi itibarıyla herkese açık bir yama bulunmamaktadır.
Kaynaktaki açıklama (İngilizce)
Event Schedule is an open-source platform to share events, sell tickets and bring communities together. In versions 1.0.0 and prior, App\Utils\UrlUtils::isUrlSafe() is the SSRF guard applied to user-supplied import URLs. It can be bypassed two ways, both reaching internal/localhost services when the URL is later fetched by ImportCuratorEvents (Http::get($url) then the response body is parsed and imported as events, and file_get_contents($ogImage)). At time of publication, there are no publicly available patches.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| eventschedule | ≤ 1.0.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.