CVE-2023-27160
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
Podatność SSRF w forem do wersji v2022.11.11 umożliwia atakującemu wysłanie spreparowanego żądania POST do endpointu /articles/{id}, co pozwala na dostęp do zasobów sieciowych i poufnych informacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci, uzyskania dostępu do wrażliwych danych lub przeprowadzenia ataków na inne systemy wewnętrzne.
Rekomendacja
Zaleca się natychmiastową aktualizację forem do najnowszej wersji oraz wdrożenie mechanizmów walidacji i filtrowania żądań POST w celu zapobiegania SSRF.
Inne podatności w forem
Zobacz wszystkie- CVE-2026-61696Średnie
Forem przed commitem 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c przechowuje niezdezynfekowaną wartość z feedback_message[message] i renderuje ją przez raw() w widoku administratora, gdy obecny jest offender_id. Przeglądanie raportu o nadużyciu wykonuje dowolny JavaScript w przeglądarce administratora, co może ujawnić dane strony, tokeny CSRF lub umożliwić działania administracyjne w sesji ofiary. Publiczny FeedbackMessagesController akceptuje raport bez autoryzacji i wcześniej pozwalał na podanie offender_id, co czyni podatną ścieżkę osiągalną dla nieuwierzytelnionego atakującego.
- CVE-2026-48780Wysokie
Forem to oprogramowanie open source do budowania społeczności. Przed poprawką a2ab6d4, złośliwie skonstruowany adres e-mail mógł umożliwić atakującemu ominięcie ograniczeń listy dozwolonych lub zablokowanych domen, co pozwalało na dostęp do wdrożeń forem wymagających zaproszenia.
Oryginalny opis (angielski, źródło NVD)
forem up to v2022.11.11 was discovered to contain a Server-Side Request Forgery (SSRF) via the component /articles/{id}. This vulnerability allows attackers to access network resources and sensitive information via a crafted POST request.