CVE-2026-7005
WIT SynApps Runtime 1.4.11 में कंट्रोलर ऑनबोर्डिंग के माध्यम से ब्राउज़र-मध्यस्थ SSRF
- प्रकाशित
- 30 अक्टू॰ 2026
- अद्यतन
- 30 अक्टू॰ 2026
- सीएनए असाइन करना
- VulnCheck
- साक्ष्य देखे गए
- 30 अक्टू॰ 2026
प्राथमिक सीवीएसएस
cvelist · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:Nकम · अगले 30 दिन
- प्रतिशत
- 2.1%
- मॉडल दिनांक
- 31 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WIT SynApps Runtime 1.4.11 तक में एक ब्राउज़र-मध्यस्थता वाली क्रॉस-ओरिजिन रिक्वेस्ट फ़ॉर्जरी (CSRF) भेद्यता है, जो हमलावरों को कंट्रोलर ऑनबोर्डिंग के दौरान एक मनमाना लक्ष्य पता प्रदान करने की अनुमति देती है, जिससे पीड़ित का ब्राउज़र हमलावर-निर्दिष्ट होस्ट्स पर /easy/GUI/Skins/Default/SiteLogo और /easy/GUI/Skins/Default/Identity जैसे पथों पर डिस्कवरी अनुरोध जारी करता है। हमलावर पीड़ित के ब्राउज़र की पहुँच का लाभ उठाकर लूपबैक पतों, स्थानीय होस्टनेम, या केवल-आंतरिक नेटवर्क होस्ट्स की जाँच कर सकते हैं और REDY इंस्टेंस के विरुद्ध नामांकन प्रक्रिया आरंभ कर सकते हैं, जिससे एक स्वीकृत एप्लिकेशन पथ के माध्यम से IT/OT विभाजन सीमाओं को पार किया जा सकता है।
स्रोत
- ExploitsPoC
मूल CVEs, exploit PoCs, और सुरक्षा सलाहकारियाँ, जिनमें विस्तृत भेद्यता श्रृंखलाएँ, विशेषाधिकार वृद्धि, और कंटेनर पलायन तकनीकें शामिल हैं, पेनिट्रेशन परीक्षण और अनुसंधान के लिए।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।