CVE-2026-33659 in EspoCRM
الملخص
بحسب VulDB • 19/06/2026
EspoCRM هو تطبيق لإدارة علاقات العملاء مفتوح المصدر. في الإصدارات 9.3.3 وما دونها، يكون نقطة النهاية POST /api/v1/Attachment/fromImageUrl عرضة لهجوم تزوير الطلبات من جانب الخادم (SSRF) عبر حالة إعادة ربط DNS (TOCTOU). تستخدم عملية التحقق من المضيف دالة dns_get_record() ولكن طلب HTTP الفعلي يحل أسماء النطاقات باستخدام محلل curl الداخلي (gethostbyname())، مما يسمح للبحثين بإرجاع عناوين IP مختلفة لنفس اسم النطاق. توجد مشكلة ثانوية حيث يؤدي نتيجة DNS فارغة (بسبب فشل في DNS أو نطاقات تدعم IPv6 فقط أو أسماء مضيف غير موجودة) إلى السماح الضمني بالمضيف دون فحوصات إضافية. يمكن لمهاجم مصرّح له بالوصول مع صلاحية إنشاء المرفقات الافتراضية استغلال هذا الثغرة لتجاوز قيود عناوين IP الداخلية وفحص منافذ الشبكة الداخلية، والتحقق من وجود مضيفين داخليين، والتفاعل مع الخدمات القائمة على HTTP داخلية، رغم أن استخراج البيانات من خدمات البروتوكولات الثنائية والتنفيذ البعيد للكود غير ممكن عبر هذه النقطة النهائية. تم إصلاح هذه المشكلة في الإصدار 9.3.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.