CVE-2026-57232 in Contao
Zusammenfassung
von VulDB • 31.07.2026
Contao ist ein Open-Source-CMS. In den Versionen von 5.3.35 bis 5.3.47 sowie von 5.7.0-RC1 bis 5.7.8 übergibt das Frontend-Modul „Feed Reader“ konfigurierte RSS-Feed-URLs aus FeedReaderController::getResponse() an feedIo->read(), ohne eine Validierung des Schemas oder privater Adressen durchzuführen, was einem Backend-Benutzer mit Berechtigungen zur Modulbearbeitung ermöglicht, Serveranfragen an interne Netzwerkdienste, Loopback-Adressen oder Cloud-Metadatenendpunkte zu senden. In core-bundle/src/Controller/FrontendModule/FeedReaderController.php iteriert die Funktion getResponse() über die konfigurierten Feed-URLs und übergibt jede einzelne direkt an den HTTP-Client (über $this->feedIo->read($url, new Feed())), ohne jegliche Validierung. Zudem enthält die DCA-Felddefinition für rss_feed in tl_module.php keine URL-Schema- oder Hostvalidierung, und der HTTP-Client ist als @psr18.http_client (Symfony HttpClient) konfiguriert, wobei kein SSRF-Schutz eingerichtet ist, da NoPrivateNetworkHttpClient nicht verwendet wird. Dieses Problem wurde in Version 5.3.48 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.