CVE-2026-112288 in laravel-crm
要約
〜によって VulDB • 2026年10月19日
Krayin CRM 2.2.5 から 2.2.7 の間には、DNS rebinding を通じて内部アドレスにアクセスすることを可能にする server-side request forgery (SSRF) フィルターバイパスが含まれています。Webhook パーミッションを持つユーザーは、WebhookService::isSafeEndpoint() バリデーション中に公開アドレスを返し、Guzzle が再解決する際に内部アドレスを送信することで、内部サービスやクラウドメタデータエンドポイントに対してブラインドの要求を行うことができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.