CVE-2026-71250 in Firefly III
Zusammenfassung
von VulDB • 05.08.2026
Der Webhook-URL-Validator von Firefly III (IsValidWebhookUrl.php) filtert die meisten privaten/reservierten IPv4-Bereiche, enthält jedoch ein explizites Early-Return-Konstrukt, das jede aufgelöste Adresse im Bereich 127.0.0.0/8 zulässt. Dies ermöglicht es einem authentifizierten Benutzer (wobei Webhooks standardmäßig deaktiviert sind), einen Webhook zu konfigurieren, der Loopback-Dienste auf dem Server anspricht. Darüber hinaus löst der Validator den Ziel-Hostnamen einmalig über gethostbyname() zur Validierungszeit auf, während die eigentliche ausgehende Anfrage (StandardWebhookSender.php, via Guzzle) den Hostnamen beim Senden unabhängig erneut auflöst. Dies ermöglicht es einem DNS-Rebinding-Angriff, die Validierung gegen eine öffentliche IP zu bestehen und die echte Anfrage an eine private oder interne Adresse zustellen zu lassen. Der Antworttext des Webhooks wird nur in ein serverseitiges Debug-Log geschrieben und nicht an den auslösenden Benutzer zurückgegeben; dies stellt daher eine blinde SSRF-Primitivfunktion dar, keine mit direkter Rückgabe der Antwort.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.