CVE-2026-33975 in twenty
Zusammenfassung
von VulDB • 23.05.2026
Twenty ist ein Open-Source-CRM, das mit NestJS (Node.js) entwickelt wurde. In den Versionen 1.18.0 und früher kann der SSRF-Schutz in Twenty-Server’s SecureHttpClientService umgangen werden, indem IPv4-mapped IPv6-Adressen in URL-IP-Literalen verwendet werden. Der URL-Parser von Node.js normalisiert IPv4-mapped IPv6-Adressen in eine komprimierte Hexadezimalform (z. B. wird ::ffff:169.254.169.254 zu ::ffff:a9fe:a9fe), aber die Hilfsfunktion isPrivateIp erkennt nur die dezimale Notation mit Punkten. Infolgedessen wird die hexadezimale Form ohne Prüfung an der SSRF-Überprüfung vorbeigeleitet. Darüber hinaus wird das Socket-Lookup-Validierungsereignis für IP-Literal-Adressen nicht ausgelöst, wodurch die zweite Validierungsebene umgangen wird. Ein authentifizierter Benutzer kann jede interne IP-Adresse erreichen, einschließlich Cloud-Metadaten-Endpunkten, um Anmeldeinformationen wie IAM-Schlüssel zu extrahieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.