بدأت خطورة ثغرات NodeJS تجتاح الويب .. تحذيرات مسبقة!

هنا خطأ في نقل الخبر ..

الاستغلال خطأ من مبرمج التطبيق مكن للمستخدم بإرسال طلبات من السيرفر لأي جهه ترغب بها وكذالك استقبال الإستجابه وإرسالها لك ، كاتب المقال استغل هذا الخطأ حين استخدم المبرمج package يسمى needle.jsيعمل كـ http client الاستغلال تم عن طريق الإضافه وليس node.js or express.js ، هذا الاستغلال يتم في أى تطبيق ويب بأى لغة أو إطار عمل إذا مكن المبرمج التطبيق بعمل طلبات cross domain دون وضع حدود لها .

كما شرح كاتب المقال بأن التطبيق يقدم خدمه بحفظ روابط ومشاركتها والميزه التي يقدمها التطبيق بأنه يعمل على جلب الفقره الأولى من محتوى مقال الرابط ، لكن المبرمج عمل على أن تعطيه الرابط فيقوم الخادم بأرسال طلب للعنوان التي طلبته ثم يستقبل الإجابه ويقوم بتحويلها لك هذا مايسمى SSRF

الخطوره بأن سمح لك تستخدم الخادم وعمل طلبات من خلاله وكأنك تملكه والحصول على معلومات لو طلبتها مباشره لن تتمكن الكاتب استغل الخطأ في خدمات amazon وجعل الخادم يخاطب Metadata Service في خدمة الاستضافه وحصل على المعلومات .