CVE-2026-45568
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w zrok przed wersją 2.0.3 pozwala atakującemu na przekazanie absolutnego URL-a w ścieżce żądania do proxy Flask SDK Python. Funkcja urllib.parse.urljoin umożliwia zastąpienie skonfigurowanego hosta docelowego, co skutkuje wysłaniem żądania przez serwer do adresu URL wybranego przez atakującego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków typu SSRF (Server-Side Request Forgery), potencjalnie uzyskując dostęp do wewnętrznych zasobów sieciowych lub wykonując nieautoryzowane żądania w imieniu serwera.
Rekomendacja
Należy niezwłocznie zaktualizować zrok do wersji 2.0.3 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
zrok is software for sharing web services, files, and network resources. Prior to 2.0.3, zrok's Python SDK ProxyShare Flask proxy route accepts an absolute URL in the request path and passes it to urllib.parse.urljoin, allowing the requested path to replace the configured target host and causing requests.request to return a server-side response from an attacker-chosen URL. This issue is fixed in version 2.0.3.