CVE-2026-82667
ŚrednieCVSS 4.7Streszczenie
Podatność znaleziona w yaojingang GEOFlow do wersji 2.1.0. Dotyczy funkcji DistributionController.isValidHttpEndpoint w pliku app/Services/GeoFlow/GenericHttpEndpointResolver.php. Manipulacja argumentem endpoint_url prowadzi do server-side request forgery. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Zalecane jest uaktualnienie do wersji 2.1.1. Nazwa poprawki to 67abfd864a15d169a78429f3290c91cb3b93e849.
Ocena ryzyka
Ryzyko SSRF może umożliwić atakującemu dostęp do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację GEOFlow do wersji 2.1.1 lub nowszej, która zawiera poprawkę tej podatności.
Inne podatności w GEOFlow
Zobacz wszystkie- CVE-2026-82666Średnie
Wada znaleziona w yaojingang GEOFlow do wersji 2.1.0. Problem dotyczy funkcji preview w pliku app/Http/Controllers/Admin/SiteThemeEditorController.php komponentu Superadmin Theme Editor. Manipulacja argumentem blade powoduje wstrzyknięcie kodu. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty. Uaktualnienie do wersji 2.1.1 rozwiązuje ten problem. Nazwa poprawki: 67abfd864a15d169a78429f3290c91cb3b93e849.
- CVE-2026-82665Niskie
Wykryto podatność w yaojingang GEOFlow do wersji 2.1.0. Funkcja unlink w pliku ImageLibraryController.php komponentu Image Library Cleanup jest podatna na path traversal przez argument file_path. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2.1.1.
- CVE-2026-82664Średnie
Wykryto podatność na cross-site scripting (XSS) w oprogramowaniu yaojingang GEOFlow do wersji 2.1.0. Podatność dotyczy nieznanej części pliku app/Http/Controllers/Site/HomeController.php w komponencie JSON-LD Theme Handler. Manipulacja argumentem Search umożliwia zdalne wykonanie ataku XSS. Publicznie ujawniono exploit, a aktualizacja do wersji 2.1.1 łagodzi problem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in yaojingang GEOFlow up to 2.1.0. Impacted is the function DistributionController.isValidHttpEndpoint of the file app/Services/GeoFlow/GenericHttpEndpointResolver.php. Such manipulation of the argument endpoint_url leads to server-side request forgery. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 2.1.1 is recommended to address this issue. The name of the patch is 67abfd864a15d169a78429f3290c91cb3b93e849. It is advisable to upgrade the affected component.