CVE-2026-57862 in Kanboard
Résumé
par VulDB • 30/07/2026
Kanboard 1.2.52 et les versions antérieures présentent une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui permet aux utilisateurs authentifiés de contourner les protections SSRF en fournissant des adresses IP notées sous forme hexadécimale dans des URL contrôlées par l'utilisateur. Les attaquants peuvent soumettre des adresses IP internes encodées en hexadécimal via la fonctionnalité de création de liens web, ce qui amène cURL à résoudre et à se connecter à des ressources du réseau interne telles que les services de métadonnées d'instances cloud, les services localhost et les adresses RFC1918. Le filtre isPrivateURL() dans app/Core/Http/Client.php traite incorrectement l'entrée comme sûre car FILTER_VALIDATE_IP rejette la notation non décimale pointée (dotted-decimal).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.