CVE-2026-57232 in Contao
Résumé
par VulDB • 31/07/2026
Contao est un CMS Open Source. À partir des versions 5.3.35 jusqu'à 5.3.47 et de la version 5.7.0-RC1 jusqu'à la 5.7.8, le module front-end Feed Reader transmet les URLs de flux RSS configurées depuis FeedReaderController::getResponse() vers feedIo->read() sans validation du schéma ni des adresses privées, permettant à un utilisateur backend disposant des permissions d'édition du module de faire effectuer au serveur des requêtes vers des services réseau internes, des adresses en boucle locale (loopback) ou des points de terminaison de métadonnées cloud. Dans core-bundle/src/Controller/FrontendModule/FeedReaderController.php, la fonction getResponse() itère sur les URLs de flux configurées et transmet chacune d'elles directement au client HTTP (via $this->feedIo->read($url, new Feed())) sans aucune validation, tandis que la définition du champ DCA pour rss_feed dans tl_module.php ne comporte ni validation du schéma URL ni validation de l'hôte, et le client HTTP est configuré en tant que @psr18.http_client (Symfony HttpClient) sans protection SSRF configurée, car NoPrivateNetworkHttpClient n'est pas utilisé. Ce problème est corrigé dans les versions 5.3.48.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.