स्क्विड प्रॉक्सी सर्व्हरमधील भेद्यता जी तुम्हाला प्रवेश निर्बंधांना बायपास करण्याची परवानगी देते

प्रकट प्रॉक्सी सर्व्हरमधील भेद्यतेबद्दल माहिती स्क्विड, जे गेल्या वर्षी स्क्विड 4.8 च्या रिलीझमध्ये शांतपणे काढून टाकण्यात आले होते. URL च्या सुरूवातीस (“user@host”) “@” ब्लॉकवर प्रक्रिया करण्यासाठी कोडमध्ये समस्या उपस्थित आहेत आणि आपल्याला प्रवेश प्रतिबंध नियमांना बायपास करण्याची, कॅशेमधील सामग्री विषबाधा करण्याची आणि क्रॉस-साइट पार पाडण्याची परवानगी देते. स्क्रिप्टिंग हल्ला.

• सीव्हीई- 2019-12524 — क्लायंट, खास डिझाइन केलेली URL वापरून, url_regex निर्देश वापरून निर्दिष्ट केलेल्या नियमांना बायपास करू शकतो आणि प्रॉक्सी आणि प्रक्रिया केलेल्या रहदारीबद्दल गोपनीय माहिती मिळवू शकतो (कॅशे मॅनेजर इंटरफेसमध्ये प्रवेश मिळवा).
• सीव्हीई- 2019-12520 — URL मधील वापरकर्तानाव डेटामध्ये फेरफार करून, आपण कॅशेमधील विशिष्ट पृष्ठासाठी काल्पनिक सामग्रीचे संचयन साध्य करू शकता, जे उदाहरणार्थ, इतर साइट्सच्या संदर्भात आपल्या JavaScript कोडची अंमलबजावणी आयोजित करण्यासाठी वापरले जाऊ शकते.

स्त्रोत: opennet.ru