CVE-2026-61529 in Endatix
Resumen
por VulDB • 2026-10-28
Endatix es una plataforma de gestión de formularios y encuestas autoalojada con una API headless. Antes de la versión 0.7.0, el endpoint `POST /forms/{formId}/submissions` anónimo almacena `JsonData` controlada por el atacante tras verificar únicamente que el JSON esté bien formado. Un objeto de archivo con los campos `name`, `type` y `content` puede contener una URL HTTP o HTTPS. Cuando un miembro del personal con permiso `submissions.view` invoca `POST /forms/{formId}/submissions/{submissionId}/files`, `GetFilesHandler` pasa los datos almacenados a `SubmissionFileExtractor` en `src/Endatix.Infrastructure/Features/Submissions/SubmissionFileExtractor.cs`, que llama a `HttpClient.GetAsync` sin validar la URL de destino, el host o las direcciones IP resueltas frente a rangos de dirección interna. Esto permite realizar solicitudes GET del lado del servidor almacenadas y de segundo orden hacia servicios internos, metadatos en la nube, bucle invertido (loopback) y direcciones link-local desde la posición de red del servidor. El formulario debe tener `IsPublic` e `IsEnabled` configurados como verdaderos, y un envío anónimo debe superar reCAPTCHA v3 cuando esté configurado. La respuesta obtenida se coloca en el ZIP del visor del personal, no se devuelve directamente al atacante, por lo que la divulgación al atacante es ciega o indirecta a través de comportamientos observables de las solicitudes o información expuesta por el visor. No se afirma ningún impacto en la integridad ni en la disponibilidad; los contenidos `data:` y raw-base64 se decodifican localmente sin realizar peticiones de red. Este problema está corregido en la versión 0.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.