CVE-2026-55824 in Contao
Sumário
de VulDB • 01/08/2026
O Contao é um CMS de código aberto (Open Source). Nas versões 4.13.40 a 5.3.46 e 5.7.0-RC1 a 5.7.6, o crawler vaza credenciais de autenticação para hosts externos. O crawler do Contao tenta impedir que opções confidenciais do cliente HTTP sejam enviadas para domínios externos criando um cliente com escopo (scoped client): ele aplica todas as opções às origens da página raiz e limpa as opções para todo o restante. No entanto, ao remover os cabeçalhos Cookie e Authorization, a função de limpeza remove incorretamente nomes de opção não-Symfony (`basic_auth` e `bearer_auth`) em vez das reais opções do Symfony HttpClient (`auth_basic` e `auth_bearer`). Quando `contao.crawl.default_http_client_options` contém autenticação Basic ou Bearer para um ambiente protegido (staging/produção), essas credenciais permanecem no cliente "limpo" utilizado para links externos ou URIs adicionais configuradas. Um atacante que consiga fazer com que uma URL externa seja rastreada, por exemplo através de um link numa página já analisada enquanto o verificador de links quebrados estiver ativado, pode receber as credenciais do crawler. Este problema foi corrigido nas versões 5.3.47 e 5.7.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.