Serveis / Alertes

Squidex té un problema de falsificació de sol·licituds del costat del servidor (SSRF) a la configuració del Webhook.

ALERTES

30/01/2026

CVE-2026-24736

CRÍTIC (9,1)

CVSS3: 0,0

Squidex és un sistema de gestió de contingut sense capçalera de codi obert i un centre de gestió de contingut. Les versions de l’aplicació fins a la 7.21.0 permeten que els usuaris defineixin “Webhooks” com a accions dins del motor de regles. El paràmetre url a la configuració del webhook no sembla validar ni restringir les adreces IP de destinació. Accepta adreces locals com ara 127.0.0.1 o localhost. Quan s’activa una regla (ja sigui activació manual enviant una sol·licitud manualment al punt final de l’activador o mitjançant una actualització de contingut o qualsevol altre activador), el servidor de back-end executa una sol·licitud HTTP a l’URL proporcionada per l’usuari. Crucialment, el servidor registra la resposta HTTP completa al registre d’execució de regles (camp lastDump), al qual es pot accedir a través de l’API. Això converteix un SSRF “cec” en un SSRF de “lectura completa”.

post:/platform/configuration/security/service-accountsdelete:/platform/configuration/security/service-accounts/{user_id}patch:/platform/configuration/security/service-accounts/{user_id}post:/platform/configuration/security/service-accounts/{user_id}/keysdelete:/platform/configuration/security/service-accounts/{user_id}/keys/{api_key_id}patch:/userpost:/userspost:/users/auth/keysdelete:/users/auth/keysdelete:/users/auth/keys/_alldelete:/users/auth/keys/{api_key_id}delete:/users/{user_id}/auth/keysdelete:/users/{user_id}/auth/keys/{api_key_id}delete:/users/{user_name}patch:/users/{user_name}

Sistemes Afectats