A vulnerability was found in HBAI-Ltd Toonflow-app up to 1.1.1. This affects the function fetch of the file src/routes/setting/vendorConfig/getCodeByLink.ts of the component getCodeByLink Endpoint. The manipulation of the argument Link results in server-side request forgery. The attack may be performed from remote. The exploit has been made public and could be used. There is ongoing doubt regarding the real existence of this vulnerability. The vendor explains in a reply to the issue report, that "[t]he /getCodeByLink interface is used to obtain TS code and run it locally. It is inherently a high-risk interface, and users must clearly understand the risks before requesting to use it."
A server-side request forgery (SSRF) vulnerability exists in HBAI-Ltd Toonflow-app versions up to 1.1.1 in the getCodeByLink endpoint, allowing remote attackers to manipulate the Link parameter. The vendor acknowledges this is a high-risk interface requiring explicit user understanding of security implications.
تم العثور على ثغرة SSRF في دالة fetch بملف getCodeByLink.ts في تطبيق Toonflow حتى الإصدار 1.1.1. تسمح الثغرة للمهاجمين بمعالجة معامل الرابط لتنفيذ طلبات على خوادم داخلية. يعترف البائع بأن الواجهة عالية المخاطر وتتطلب موافقة صريحة من المستخدم.
تم اكتشاف ثغرة SSRF في تطبيق Toonflow من HBAI-Ltd الإصدارات حتى 1.1.1 في نقطة نهاية getCodeByLink، مما يسمح للمهاجمين بمعالجة معامل الرابط عن بعد. يعترف البائع بأن هذه واجهة عالية المخاطر تتطلب فهماً صريحاً من المستخدم لآثار الأمان.
Upgrade HBAI-Ltd Toonflow-app to version 1.1.2 or later. Implement strict input validation and URL whitelisting for the Link parameter. Restrict access to the getCodeByLink endpoint to authorized users only. Monitor and log all requests to this endpoint. Consider disabling the endpoint if not actively required.
قم بترقية تطبيق Toonflow من HBAI-Ltd إلى الإصدار 1.1.2 أو أحدث. قم بتطبيق التحقق الصارم من المدخلات وقائمة بيضاء للعناوين بخصوص معامل الرابط. قيد الوصول إلى نقطة النهاية إلى المستخدمين المصرح لهم فقط. راقب وسجل جميع الطلبات إلى هذه النقطة. فكر في تعطيل النقطة إذا لم تكن مطلوبة بنشاط.