ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Wanderer هو قاعدة بيانات مسارات ذاتية الاستضافة لحفظ ومشاركة المغامرات. قبل الإصدار 0.20.0، عندما لا يتم تعيين PUBLIC_PRIVATE_INSTANCE إلى true، فإن معالج الطلب غير المُصادق عليه POST /api/v1/trail/download يمرر حقل url بتنسيق JSON المتحكم فيه من قبل المهاجم مباشرة إلى event.fetch() ويعيد الاستجابة المسترجعة. يسمح هذا بطلبات للخدمات الداخلية مثل db:8090 و search:7700، وعناوين بيانات الحوسبة السحابية الوصفية، وجهات شبكة أخرى، مما يكشف البيانات المُعادة ويسمح باستطلاع الشبكة الداخلية أو حجب الخدمة. تم إصلاح هذه المشكلة في الإصدار 0.20.0.