TrueLayer.NET: Kontrolle über HttpClient-Ziel-URL durch Angreifer möglich

Beschreibung

TrueLayer.NET, der offizielle .NET-Client für die TrueLayer-API, weist eine Schwachstelle auf, durch die ein böswilliger Akteur die Ziel-URL des von den API-Klassen verwendeten HttpClient kontrollieren kann. Anwendungen, die das SDK nutzen, können dadurch zu unerwarteten Ressourcen im lokalen Netzwerk oder im Internet umgeleitet werden, was zur Offenlegung von Informationen führen kann. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: strikte Egress-Regeln für erreichbare Zieladressen setzen und Benutzereingaben, die an die Bibliothek `truelayer-dotnet` übergeben werden, streng validieren; Versionen ab v1.6.0 des Clients sind nicht betroffen.

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in .NET / Microsoft

• Microsoft .NET Framework – Information Disclosure KEV CVE-2024-29059
• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Microsoft .NET Core und Visual Studio – Denial-of-Service Vulnerability KEV CVE-2023-38180
• Telerik UI for ASP.NET AJAX – Insecure Direct Object Reference Vulnerability KEV CVE-2017-11357
• Microsoft Windows Remote Code Execution Vulnerability KEV CVE-2015-1671
• Telerik UI for ASP.NET AJAX – Unrestricted File Upload Vulnerability KEV CVE-2017-11317