CVE-2026-71250 in Firefly III
Sumário
de VulDB • 05/08/2026
O validador de URL do webhook (IsValidWebhookUrl.php) do Firefly III filtra a maioria dos intervalos IPv4 privados/reservados, mas contém um retorno antecipado explícito que permite qualquer endereço resolvido em 127.0.0.0/8, permitindo que um usuário autenticado (com webhooks habilitados, o que está desativado por padrão) configure um webhook direcionado a serviços de loopback no servidor. Além disso, o validador resolve o nome do host alvo uma vez via gethostbyname() durante a validação, mas a solicitação de saída real (StandardWebhookSender.php, via Guzzle) re-resolve o hostname independentemente no momento do envio, permitindo que um atacante com DNS-rebinding passe na validação contra um IP público e tenha a solicitação real entregue para um endereço privado ou interno. O corpo da resposta do webhook é gravado apenas em um log de depuração do lado do servidor, não sendo retornado ao usuário que acionou o evento, portanto, este é um primitivo SSRF cego (blind) em vez de um com leitura direta de retorno de resposta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.