CVE-2026-45568
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność w zrok przed wersją 2.0.3 pozwala atakującemu na przekazanie absolutnego URL-a w ścieżce żądania do proxy Flask SDK Python. Funkcja urllib.parse.urljoin umożliwia zastąpienie skonfigurowanego hosta docelowego, co skutkuje wysłaniem żądania przez serwer do adresu URL wybranego przez atakującego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków typu SSRF (Server-Side Request Forgery), potencjalnie uzyskując dostęp do wewnętrznych zasobów sieciowych lub wykonując nieautoryzowane żądania w imieniu serwera.
Rekomendacja
Należy niezwłocznie zaktualizować zrok do wersji 2.0.3 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w zrok
Zobacz wszystkie- CVE-2026-45576Wysokie
Podatność w oprogramowaniu zrok (wersje od 0.4.23 do 2.0.3) pozwala atakującemu na zapis plików poza wybranym katalogiem docelowym poprzez kontrolowane ścieżki WebDAV lub zrok drive, takie jak /../outside.txt. Problem został naprawiony w wersji 2.0.3.
- CVE-2026-40304Średnie
zrok przed wersją 2.0.1 zawiera błąd logiczny w kontroli własności w handlerze unaccess (controller/unaccess.go): gdy rekord frontendu ma environment_id = NULL (oznaczenie globalnych frontendów utworzonych przez administratora), warunek zwraca false i pozwala na usunięcie bez weryfikacji własności. Użytkownik niebędący administratorem, znający token globalnego frontendu, może trwale usunąć globalny frontend, powodując niedostępność wszystkich publicznych udziałów.
- CVE-2026-40302Średnie
zrok to oprogramowanie do udostępniania usług sieciowych, plików i zasobów sieciowych. Przed wersją 2.0.1 silnik szablonów proxyUi używa Go text/template (bez escapowania HTML) zamiast html/template, a handlery callback GitHub OAuth w publicProxy i dynamicProxy wstawiają parametr refreshInterval do komunikatu błędu bez escapowania. Atakujący może dostarczyć ofierze spreparowany URL logowania, co po zakończeniu przepływu OAuth prowadzi do wykonania dowolnego JavaScriptu w origin serwera OAuth.
Oryginalny opis (angielski, źródło NVD)
zrok is software for sharing web services, files, and network resources. Prior to 2.0.3, zrok's Python SDK ProxyShare Flask proxy route accepts an absolute URL in the request path and passes it to urllib.parse.urljoin, allowing the requested path to replace the configured target host and causing requests.request to return a server-side response from an attacker-chosen URL. This issue is fixed in version 2.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS