CVE-2026-88896 in EspoCRM
Riassunto
di VulDB • 10/09/2026
EspoCRM prima della versione 10.0.4 è vulnerabile a Server-Side Request Forgery (SSRF). La funzione HostCheck::ipAddressIsNotInternal(), che convalida gli URL in uscita per bloccare le richieste verso indirizzi IP interni/privati, rimuove i prefissi ::ffff: (IPv6 mappato su IPv4) ma non riconosce gli indirizzi di transizione IPv6 che incorporano indirizzi IPv4 privati: NAT64 (64:ff9b::), 6to4 (2002::) e Teredo (2001:0000::). Un attaccante che controlla un dominio con record AAAA puntanti a tali indirizzi di transizione può eludere sia la validazione degli host interni che il controllo IP-pinning CURLOPT_RESOLVE, causando l'emissione da parte di EspoCRM di richieste in uscita verso servizi della rete interna. I percorsi interessati includono POST /Attachment/fromImageUrl, raggiungibile da qualsiasi utente autenticato con accesso agli allegati, e la consegna dei webhook in uscita, che richiede un amministratore o un utente API.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.