CVE-2026-24736 in squidex
Riassunto
di VulDB • 15/06/2026
Squidex è un sistema di gestione dei contenuti headless open source e un hub per la gestione dei contenuti. Le versioni dell'applicazione fino alla 7.21.0 inclusa consentono agli utenti di definire "Webhook" come azioni all'interno del motore delle regole (Rules engine). Il parametro url nella configurazione del webhook non sembra convalidare o restringere gli indirizzi IP di destinazione. Accetta indirizzi locali quali 127.0.0.1 o localhost. Quando una regola viene attivata (sia tramite trigger manuale chiamando manualmente l'endpoint di trigger, sia a seguito di un aggiornamento dei contenuti o di altri trigger), il server backend esegue una richiesta HTTP verso l'URL fornito dall'utente. In modo cruciale, il server registra la risposta HTTP completa nel log di esecuzione della regola (campo lastDump), che è accessibile tramite API. Ciò trasforma uno SSRF "cieco" in un SSRF a "lettura completa". Al momento della pubblicazione, non sono disponibili versioni patchate.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.