Двадцать - это CRM с открытым исходным кодом, построенная из NestJS (Node.js). В версиях 1.18.0 и ранее защиту SSRF в двадцатисерверном Sec…

Двадцать - это CRM с открытым исходным кодом, построенная из NestJS (Node.js). В версиях 1.18.0 и ранее защиту SSRF в двадцатисерверном SecureHttpClientService можно обойти с помощью IPv4-кампированных IPv6-адресов в литералах URL-адресов IP. Парсер URL Node.js нормализует IPv4-отображенные IPv6 адреса IPv6 в сжатой форме (например, ::ffff:169.254.169.254 становится ::ffff:a9fe:a9fe:a9fe), но утилита isPrivateIp распознает только пунктирную нотацию. В результате шеф форм проходит проверку SSRF без проверки. Кроме того, событие проверки поиска розеток не запускается для IP-литеральных адресов, минуя второй уровень проверки. Аутентифицированный пользователь может достичь любого внутреннего IP, включая конечные точки метаданных облака, для эксфильтрации учетных данных, таких как ключи IAM.