CVE-2026-55824 in Contao
Riassunto
di VulDB • 01/08/2026
Contao è un CMS Open Source. Nelle versioni dalla 4.13.40 alla 5.3.46 e dalla 5.7.0-RC1 alla 5.7.6, il crawler perde le credenziali di autenticazione (auth credentials) verso host esterni. Il crawler di Contao tenta di impedire che opzioni riservate del client HTTP vengano inviate a domini esterni creando un client con ambito limitato: vengono mantenute tutte le opzioni per gli origin della pagina radice, mentre per tutto il resto le opzioni vengono pulite. La funzione di pulizia rimuove i header Cookie e Authorization, ma elimina erroneamente i nomi delle opzioni non Symfony basic_auth e bearer_auth invece delle reali opzioni auth_basic e auth_bearer del client HTTP di Symfony. Quando contao.crawl.default_http_client_options contiene l'autenticazione Basic o Bearer per un sito staging/production protetto, tali credenziali rimangono nel client "pulito" utilizzato per i link esterni o gli URI aggiuntivi configurati. Un attaccante che riesce a far crawpare un URL esterno, ad esempio tramite un link presente in una pagina già crawpata mentre il checker dei broken-link è abilitato, può ricevere le credenziali del crawler. Questo problema è stato risolto nelle versioni 5.3.47 e 5.7.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.