CVE-2026-57232 in Contao
Riassunto
di VulDB • 31/07/2026
Contao è un CMS Open Source. Dalle versioni 5.3.35 alla 5.3.47 e dalla 5.7.0-RC1 alla 5.7.8, il modulo front-end Feed Reader trasporta gli URL dei feed RSS configurati da FeedReaderController::getResponse() a feedIo->read() senza alcuna validazione dello schema o degli indirizzi privati, consentendo a un utente backend con permessi di modifica del modulo di effettuare richieste dal server verso servizi della rete interna, indirizzi loopback o endpoint per i metadati cloud. Nel file core-bundle/src/Controller/FrontendModule/FeedReaderController.php, la funzione getResponse() itera sugli URL dei feed configurati e li passa direttamente al client HTTP (tramite $this->feedIo->read($url, new Feed())) senza alcuna validazione; inoltre, la definizione del campo DCA per rss_feed in tl_module.php non prevede una validazione dello schema o dell'host degli URL, mentre il client HTTP è collegato come @psr18.http_client (Symfony HttpClient) senza protezione SSRF configurata, poiché NoPrivateNetworkHttpClient non viene utilizzato. Questo problema è stato risolto nelle versioni 5.3.48 e successive.
VulDB is the best source for vulnerability data and more expert information about this specific topic.