CVE-2026-33659 in EspoCRM
Zusammenfassung
von VulDB • 13.06.2026
EspoCRM ist eine Open-Source-Anwendung zur Kundenbeziehungsmanagement (Customer Relationship Management). In den Versionen 9.3.3 und älter ist der Endpunkt POST /api/v1/Attachment/fromImageUrl anfällig für Server-Side Request Forgery (SSRF) aufgrund einer DNS-Rebinding-(TOCTOU)-Bedingung. Die Host-Validierung verwendet dns_get_record(), während die eigentliche HTTP-Anfrage Hostnamen über den internen Resolver von curl (gethostbyname()) auflöst, wodurch es zu unterschiedlichen IP-Adressen für denselben Hostnamen kommen kann. Ein sekundäres Problem besteht darin, dass ein leeres DNS-Ergebnis (aufgrund eines DNS-Fehlers, IPv6-nur-Domains oder nicht existierender Hostnamen) die Validierung implizit erlaubt, ohne weitere Prüfungen durchzuführen. Ein authentifizierter Angreifer mit Standardzugriff auf das Erstellen von Anhängen kann diese Lücke ausnutzen, um interne IP-Einschränkungen zu umgehen und interne Netzwerkports zu scannen, das Vorhandensein interner Hosts zu bestätigen sowie mit internen HTTP-basierten Diensten zu interagieren. Eine Datenextraktion aus binären Protokoll-Diensten und Remote Code Execution (RCE) sind über diesen Endpunkt jedoch nicht möglich. Dieses Problem wurde in Version 9.3.4 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.