BDU:2026-07006
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8) Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,8) CVSS 6.800000190734863 · AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:NУязвимость корпоративного файлообменника для бизнеса MFlash, связанная с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости, может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку
Описание
Уязвимость платформы защищённого обмена данными MFlash связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку
Способ устранения
Обновление платформы защищённого обмена данными MFlash до версии 8.7.4 или выше Использование рекомендаций представителя: Даны рекомендации и компенсирующие меры, указаны в release notes: Исключена обработка файлов .html, .htm и .xhtml в сценарии PDF-конвертации и предпросмотра. Эти типы больше не отображаются среди доступных для конвертации, не отправляются в механизм PDF-конвертации и не поддерживают предпросмотр. Если необходимо вернуть возможность конвертации, воспользуйтесь руководством Главного администратора раздел 7.7. Для снижения риска эксплуатации уязвимости при включении конвертации .html, .htm и .xhtml рекомендуется рассмотреть следующие меры на стороне инфраструктуры заказчика: 1. Ограничение учетной записи, под которой запускается конвертер, доступными ей директориями на сервере (настройка сервера, а не продукта); 2. Разрешение загрузки изображений только по протоколам HTTP и HTTPS (настройка сервера, а не продукта); Блокировка запросов от конвертера к внутренним IP‑адресам (настройка сервера, а не продукта)
Сведения записи
Уязвимое программное обеспечение
| Производитель | Название | Версия | Платформа |
|---|---|---|---|
| ООО «МСофт» | MFlash | 8.7.1 | Не указана |
Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →
Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.