CVE-2026-55824 in Contao
Resumen
por VulDB • 2026-08-01
Contao es un CMS de código abierto. En las versiones comprendidas entre la 4.13.40 y la 5.3.46, así como en las versiones desde la 5.7.0-RC1 hasta la 5.7.6, el rastreador (crawler) filtra credenciales de autenticación a hosts externos. El rastreador de Contao intenta evitar que se envíen opciones confidenciales del cliente HTTP a dominios externos mediante la creación de un cliente con ámbito: las opciones completas para los orígenes de la página raíz y las opciones depuradas (limpiadas) para todo lo demás. La función de limpieza elimina los encabezados Cookie y Authorization, pero en lugar de eliminar las opciones reales de Symfony HttpClient denominadas auth_basic y auth_bearer, elimina incorrectamente los nombres de opción no pertenecientes a Symfony basic_auth y bearer_auth. Cuando contao.crawl.default_http_client_options contiene autenticación Basic o Bearer para un sitio protegido (staging/producción), esas credenciales permanecen en el cliente "limpio" utilizado para enlaces externos o URI adicionales configurados. Un atacante que pueda provocar la rastreo de una URL externa, por ejemplo mediante un enlace presente en una página ya rastreada mientras está habilitado el comprobador de vínculos rotos, puede recibir las credenciales del rastreador. Este problema se ha corregido en las versiones 5.3.47 y 5.7.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.