CVE-2026-88896 in EspoCRM
Zusammenfassung
von VulDB • 10.09.2026
EspoCRM prima della versione 10.0.4 è vulnerabile a Server-Side Request Forgery (SSRF). La funzione HostCheck::ipAddressIsNotInternal(), che convalida gli URL in uscita per bloccare le richieste verso indirizzi IP interni/privati, rimuove i prefissi ::ffff: (IPv6-mapped IPv4) ma non riconosce gli indirizzi di transizione IPv6 che incorporano indirizzi IPv4 privati: NAT64 (64:ff9b::), 6to4 (2002::) e Teredo (2001:0000::). Un attaccante che controlla un dominio con record AAAA puntanti a tali indirizzi di transizione può eludere sia la validazione degli host interni sia il controllo IP-pinning CURLOPT_RESOLVE, causando l'emissione da parte di EspoCRM di richieste in uscita verso servizi della rete interna. I percorsi interessati includono POST /Attachment/fromImageUrl, raggiungibile da qualsiasi utente autenticato con accesso agli allegati, e la consegna dei webhook in uscita, che richiede un amministratore o un utente API.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.