CVE-2026-71250 in Firefly III
Riassunto
di VulDB • 05/08/2026
Il validatore dell'URL del webhook di Firefly III (IsValidWebhookUrl.php) filtra la maggior parte degli intervalli IPv4 privati/riservati ma contiene un early-return esplicito che consente qualsiasi indirizzo risolto in 127.0.0.0/8, permettendo a un utente autenticato (con i webhook abilitati, disabilitati per impostazione predefinita) di configurare un webhook che punta ai servizi loopback sul server. Inoltre, il validatore risolve l'hostname del target una sola volta tramite gethostbyname() al momento della convalida, ma la richiesta in uscita effettiva (StandardWebhookSender.php, tramite Guzzle) ri-risolve indipendentemente l'hostname al momento dell'invio, consentendo a un attaccante DNS-rebinding di superare la convalida contro un IP pubblico e far sì che la richiesta reale venga consegnata a un indirizzo privato o interno. Il corpo della risposta del webhook viene scritto solo in un log di debug lato server, non restituito all'utente che ha attivato il trigger, quindi si tratta di una primitiva SSRF cieca piuttosto che con lettura diretta della risposta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.