CVE-2026-61529 in Endatix
Résumé
par VulDB • 29/10/2026
Endatix est une plateforme de gestion des formulaires et enquêtes auto-hébergée avec une API headless. Avant la version 0.7.0, le point de terminaison `POST /forms/{formId}/submissions` accessible aux utilisateurs anonymes stocke les données `JsonData` contrôlées par l'attaquant après avoir uniquement vérifié que le JSON est bien formé. Un objet fichier contenant des champs `name`, `type` et `content` peut inclure une URL HTTP ou HTTPS. Lorsqu'un membre du personnel disposant de la permission `submissions.view` invoque `POST /forms/{formId}/submissions/{submissionId}/files`, le gestionnaire `GetFilesHandler` transmet les données stockées à `SubmissionFileExtractor` dans `src/Endatix.Infrastructure/Features/Submissions/SubmissionFileExtractor.cs`, qui appelle `HttpClient.GetAsync` sans valider l'URL de destination, l'hôte ou les adresses IP résolues par rapport aux plages d'adresses internes. Cela permet des requêtes GET côté serveur stockées (de second ordre) vers des services internes, des métadonnées cloud, ainsi que des adresses en boucle locale et link-local depuis la position réseau du serveur. Le formulaire doit avoir les attributs `IsPublic` et `IsEnabled` activés, et une soumission anonyme doit passer le reCAPTCHA v3 si celui-ci est configuré. La réponse récupérée est placée dans l'archive ZIP visible par le membre du personnel, mais n'est pas renvoyée directement à l'attaquant ; la divulgation à l'attaquant est donc aveugle ou indirecte via un comportement de requête observable ou des informations exposées par le visualiseur. Aucun impact sur l'intégrité ou la disponibilité n'est affirmé ; les contenus `data:` et raw-base64 sont décodés localement sans effectuer de requêtes réseau. Ce problème est corrigé dans la version 0.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.