ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تطبيق Chartbrew هو تطبيق ويب مفتوح المصدر لإنشاء مخططات من قواعد البيانات واختيار البيانات. في الإصدارات من 4.8.5 وحتى 5.2.2، تقبل عمليات إنشاء وتحديث اتصال واجهة برمجة التطبيقات حقل allowPrivateHost الداخلي من مدخلات المستخدم. يمكن لمستخدم يملك حسابًا مصادقًا عليه ويمتلك صلاحية إدارة اتصالات واجهة برمجة التطبيقات تمكين هذا الحقل لتجاوز قيود الوجهة للشبكات الخاصة والمجزأة. يؤدي ترحيل الترقية أيضًا إلى تمكين التجاوز على اتصالات واجهة برمجة التطبيقات الموجودة مسبقًا. يأخذ الإعداد الخاص بكل اتصال الأسبقية على CB_ALLOW_PRIVATE_NETWORK_CALLS، لذا فإن تعطيل خيار المثيل هذا لا يحمي الاتصالات التي تم تمكين التجاوز فيها. يسمح استغلال الثغرة بنجاح بإرسال طلبات إلى خدمات HTTP الداخلية التي يمكن الوصول إليها من خادم Chartbrew، مما قد يؤدي إلى كشف معلومات أو تشغيل إجراءات غير مصرح بها اعتمادًا على الخدمة المستهدفة. لا تزال نقاط نهاية البيانات الوصفية السحابية المعروفة محظورة بشكل منفصل. تم إصلاح هذه المشكلة في الإصدار 5.2.3.