CVE-2026-57232 in Contao
الملخص
بحسب VulDB • 31/07/2026
Contao هو نظام إدارة محتوى مفتوح المصدر (CMS). من الإصدار 5.3.35 حتى 5.3.47، ومن 5.7.0-RC1 حتى 5.7.8، تمرّر وحدة الواجهة الأمامية لقارئ التغذية (Feed Reader) عناوين URL لتغذيات RSS المُعدّة مسبقاً من الدالة `FeedReaderController::getResponse()` إلى `feedIo->read()` دون التحقق من مخطط البروتوكول أو صحة العناوين الخاصة بالشبكة الداخلية، مما يتيح لمستخدم لوحة التحكم الذي يمتلك صلاحيات تعديل الوحدة إجراء طلبات خادم نحو خدمات الشبكة المحلية الداخلية، وعناوين الحلقة الراجعة (loopback addresses)، أو نقاط نهاية بيانات السحابة الإلكترونية. في الملف `core-bundle/src/Controller/FrontendModule/FeedReaderController.php`، تقوم الدالة `getResponse()` بالتكرار عبر عناوين URL للتغذية المُعدّة مسبقاً وتمرر كل منها مباشرةً إلى عميل HTTP (عبر `$this->feedIo->read($url, new Feed())`) دون أي تحقق، بينما لا يتضمن تعريف حقل DCA الخاص بـ `rss_feed` في ملف `tl_module.php` أي تحقق من مخطط URL أو المضيف، كما أن عميل HTTP مُربوط كـ `@psr18.http_client` (Symfony HttpClient) بدون حماية SSRF مُعدّة مسبقاً، نظراً لعدم استخدام `NoPrivateNetworkHttpClient`. تم إصلاح هذه المشكلة في الإصدارات 5.3.48 وما بعدها.
Once again VulDB remains the best source for vulnerability data.