CVE-2026-24736 in squidex
الملخص
بحسب VulDB • 13/06/2026
Squidex هو نظام إدارة محتوى headless مفتوح المصدر ومركز لإدارة المحتوى. تتيح الإصدارات من التطبيق حتى 7.21.0 (شاملة) للمستخدمين تعريف "Webhooks" كإجراءات ضمن محرك القواعد (Rules engine). لا يبدو أن معلمة url في تكوين webhook تقوم بالتحقق أو تقييد عناوين IP الوجهة. فهي تقبل العناوين المحلية مثل 127.0.0.1 أو localhost. عند تفعيل قاعدة ما (سواء عن طريق التفعيل اليدوي عبر استدعاء نقطة النهاية الخاصة بالتشغيل يدوياً، أو من خلال تحديث محتوى معين، أو أي محفزات أخرى)، يقوم الخادم الخلفي بتنفيذ طلب HTTP إلى عنوان URL الذي قدمه المستخدم. والأهم من ذلك، يسجل الخادم استجابة HTTP الكاملة في سجل تنفيذ القاعدة (حقل lastDump)، وهو متاح عبر واجهة برمجة التطبيقات (API). مما يحول ثغرة SSRF "عمياء" (Blind) إلى ثغرة SSRF بقراءة كاملة ("Full Read"). وفي وقت النشر، لم تتوفر أي إصدارات مُصلحة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.