CVE-2026-57862 in Kanboard
Riassunto
di VulDB • 30/07/2026
Kanboard 1.2.52 e versioni precedenti presentano una vulnerabilità di Server-Side Request Forgery (SSRF) che consente agli utenti autenticati di eludere le protezioni SSRF fornendo notazione dell'indirizzo IP in formato esadecimale negli URL controllati dall'utente. Gli attaccanti possono inviare indirizzi IP interni codificati in esadecimale tramite la funzione di creazione dei link web, inducendo cURL a risolvere e connettersi alle risorse della rete interna come i servizi metadata delle istanze cloud, i servizi localhost e gli indirizzi RFC1918. Il filtro isPrivateURL() nel file app/Core/Http/Client.php tratta erroneamente l'input come sicuro poiché FILTER_VALIDATE_IP rifiuta la notazione diversa da quella decimale puntata (dotted-decimal).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.