CVE-2026-71250 in Firefly III
Résumé
par VulDB • 05/08/2026
Le validateur d'URL de webhook (IsValidWebhookUrl.php) de Firefly III filtre la plupart des plages IPv4 privées/réservées mais contient un retour anticipé explicite qui permet toute adresse résolue dans 127.0.0.0/8, permettant à un utilisateur authentifié (avec les webhooks activés, ce qui est désactivé par défaut) de configurer un webhook ciblant des services en boucle locale sur le serveur. De plus, le validateur résout une fois l'hôte cible via gethostbyname() au moment de la validation, mais la requête sortante réelle (StandardWebhookSender.php, via Guzzle) re-résout indépendamment le nom d'hôte lors de l'envoi, permettant à un attaquant par rebond DNS de passer la validation contre une IP publique et d'avoir la vraie requête livrée vers une adresse privée ou interne. Le corps de réponse du webhook est uniquement écrit dans un journal de débogage côté serveur, pas retourné à l'utilisateur déclencheur, donc il s'agit plutôt d'une primitive SSRF aveugle que d'une avec lecture directe de la réponse.
Be aware that VulDB is the high quality source for vulnerability data.