از George Curta ·
بیک اینڈ API URL مسترد (SSRF ایلولسٹ)
ایپ ایک بیک اینڈ API URL محفوظ کرنے سے انکار کرتی ہے، یا درخواستیں URL-not-allowed خرابی کے ساتھ ناکام ہو جاتی ہیں۔
یہ کیوں ہوتا ہے
کوئی بھی درخواست کرنے سے پہلے دونوں ایپس ترتیب شدہ بیک اینڈ API URL کی ایک رن ٹائم-تصدیق شدہ ہوسٹ ایلولسٹ (UrlGuard) کے خلاف تصدیق کرتی ہیں۔ یہ SSRF گارڈ اس لیے موجود ہے تاکہ کوئی نقصان دہ یا غلط ترتیب شدہ URL کبھی بھی ایپ کے Bearer token کو حملہ آور کے زیرِ کنٹرول ہوسٹ تک نہ پہنچا سکے۔ صرف anonym.legal اور anonymize.business (DEV ہوسٹ) کی اجازت ہے — ہر دوسرا ہوسٹ ڈیزائن کے مطابق مسترد کر دیا جاتا ہے۔
کیسے ٹھیک کریں
- 1.بیک اینڈ API URL کے طور پر بالکل https://anonym.legal (پروڈکشن) یا https://anonymize.business (DEV) استعمال کریں۔
- 2.URL سے کوئی بھی اضافی پاتھ، پورٹ، یا ٹائپو ہٹا دیں — ایلولسٹ ہوسٹ نیم کو بالکل میچ کرتی ہے۔
- 3.اگر آپ کو یقین ہے کہ کوئی جائز ہوسٹ مسترد کیا جا رہا ہے، تو سپورٹ سے رابطہ کریں — ایلولسٹ جان بوجھ کر صارف کے ذریعے قابل ترمیم نہیں ہے۔
"نیا ورژن دستیاب ہے" نوٹس
ایپ کی ایڈمن ترتیبات ایک نوٹس دکھاتی ہیں کہ ایک نیا ورژن موجود ہے۔
یہ کیوں ہوتا ہے
دونوں ایپس وقتاً فوقتاً نئے ورژن کی جانچ کرتی ہیں اور دستیاب ہونے پر چینج لاگ کے لنک کے ساتھ ایک سادہ ایڈمن نوٹس دکھاتی ہیں۔ یہ ایک دستی اپ گریڈ نوٹس ہے، خودکار اپ ڈیٹ نہیں — آپ کے Nextcloud انسٹینس پر کچھ بھی خود سے انسٹال نہیں ہوتا۔
کیسے ٹھیک کریں
- 1.یہ جاننے کے لیے کہ کیا تبدیل ہوا نوٹس میں چینج لاگ لنک کی پیروی کریں۔
- 2.GitHub releases صفحے سے نیا ایپ آرکائیو (یا آرکائیوز) ڈاؤن لوڈ کریں۔
- 3.apps/ میں نکالیں اور occ upgrade چلائیں — بالکل ابتدائی تنصیب جیسے دستی مراحل — اپنے اپنے شیڈول پر۔
403 خرابی: "Basic plan or higher"
ایپ سے API کالز 403 اسٹیٹس اور Basic منصوبہ یا اس سے اوپر درکار ہونے کے بارے میں ایک پیغام کے ساتھ ناکام ہو جاتی ہیں۔
یہ کیوں ہوتا ہے
دونوں Nextcloud ایپس کے لیے Basic منصوبہ یا اس سے اوپر پر anonym.legal اکاؤنٹ درکار ہے۔ مفت منصوبے میں وہ API رسائی شامل نہیں جس پر یہ ایپس منحصر ہیں، اس لیے بیک اینڈ خاموش ناکامی کے بجائے یہ پیغام دکھاتے ہوئے 403 واپس کرتا ہے: "Nextcloud انضمام کے لیے Basic منصوبہ یا اس سے اوپر درکار ہے۔ براہ کرم اپنا منصوبہ اپ گریڈ کریں۔"
کیسے ٹھیک کریں
- 1.تصدیق کریں کہ ترتیب شدہ ٹوکن کس anonym.legal اکاؤنٹ کا ہے۔
- 2.اس اکاؤنٹ کو Basic منصوبہ یا اس سے اوپر اپ گریڈ کریں۔
- 3.درخواست دوبارہ کریں — اکاؤنٹ اپ گریڈ ہونے کے بعد کسی دوبارہ تنصیب یا دوبارہ ترتیب کی ضرورت نہیں۔
انٹیگریشن ٹوکن انکرپشن کیز نہیں پڑھ سکتا — کیا یہ ایک خرابی ہے؟
ترتیب شدہ ٹوکن کے ساتھ ڈی کرپٹ شدہ کلیدی مواد حاصل کرنے کی کوشش کرنے والی درخواست مسترد کر دی جاتی ہے۔
یہ کیوں ہوتا ہے
نہیں — یہ جان بوجھ کر ہے۔ یہ ایپس جو ٹوکن استعمال کرتی ہیں وہ ایک انٹیگریشن-اسکوپڈ ٹوکن ہے، جو جان بوجھ کر مکمل اکاؤنٹ API ٹوکن سے زیادہ محدود ہے: یہ مواد کا تجزیہ اور نامعلوم سازی کر سکتا ہے، لیکن ہر اینڈ پوائنٹ جو ڈی کرپٹ شدہ کلیدی مواد واپس کرے گا وہ ایک انٹیگریشن-اسکوپڈ ٹوکن کو 403 دیتا ہے، تاکہ ایک سمجھوتہ شدہ Nextcloud سرور کبھی بھی آپ کی واپس لانے کے قابل انکرپشن کی تاریخ کو ڈی کرپٹ کرنے کے لیے استعمال نہ کیا جا سکے۔
کیا کریں
- 1.یہ متوقع رویہ ہے، ٹھیک کرنے کے لیے کوئی خرابی نہیں — ایپس کو اپنے analyze/anonymize/deanonymize ورک فلو کے لیے کبھی بھی ڈی کرپٹ شدہ کلیدی مواد کی ضرورت نہیں پڑتی۔
- 2.اگر کسی ورک فلو کو واقعی مکمل اکاؤنٹ رسائی کی ضرورت ہے، تو ان ایپس سے باہر، اپنے زیرِ کنٹرول کسی سیاق و سباق میں ایک مکمل-اسکوپ API ٹوکن استعمال کریں۔
پھر بھی مدد چاہیے؟
اگر مندرجہ بالا میں سے کوئی بھی حل کام نہ کرے، تو ہم سے رابطہ کریں اور ہم اس مسئلے کو حل کرنے میں آپ کی مدد کریں گے۔